Fassung 1.4.6: das Update schreibt mit, und die Ergebnisseite ist nachsichtig

Zwei Nachtraege zu 1.4.5, beide aus der Generalprobe.

- Jeder Schritt des Archiv-Updaters geht sofort nach var/updates.log,
  waehrend des Laufs und nicht am Ende. Auf Umuts Hosting war die
  Ergebnisseite tot, und damit war auch verloren, was der Updater
  berichtet hatte. Genau so wurde der naechste Fehlschlag dann doch
  lesbar: "bin liess sich nicht beiseitelegen - der alte Stand wurde
  zurueckgeschoben" (ein Windows-Artefakt der Testumgebung, und
  zugleich der Beweis, dass der Rueckweg funktioniert).
- Die Ergebnisseite versteht auch die Schreibweise bis 1.4.4. Das ist
  kein Nachgeben, sondern noetig: Beim Update schreibt der alte Code
  die Schritte in die Sitzung und der neue zeigt sie an. Eine Fassung,
  die nur die neue Schreibweise kennt, koennte das Update, das sie
  selbst einspielt, nicht berichten.

Nachgestellt mit einer echten Installation aus dem Releasearchiv, die
ueber die Oberflaeche aktualisiert wurde - nicht ueber die Konsole.

Geprueft: 434 Tests auf PHP 8.2 und 8.4.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

VERSION

@@ -1 +1 @@
-1.4.2
+1.4.6

config/services.yaml

@@ -62,6 +62,9 @@ services:
             $projectDir: '%kernel.project_dir%'
             $adminPath: '%kant.admin_path%'
             $environment: '%kernel.environment%'
+    App\Ops\ArchiveUpdate:
+        arguments:
+            $root: '%kernel.project_dir%'
     App\Ops\Updater:
         arguments:
             $root: '%kernel.project_dir%'

docs/ARCHITECTURE.md

@@ -440,6 +440,93 @@ Vom Verweis bleibt nur der Host. Die vollständige Adresse, aus der jemand kam,
 
 **Aufbewahrung:** nach 60 Tagen werden die Stunden eines Tages zu einer Zeile verschmolzen, nach 425 Tagen wird gelöscht. Gut ein Jahr, damit ein Vergleich mit dem Vorjahresmonat möglich bleibt. `cms:stats:prune` macht beides und ist für einen Cronjob gedacht.
 
+## ADR 072 – Drei Fehler einer Familie: dieses Hosting ist nicht mein Rechner (13.09.2026)
+
+Umut, während er 1.4.4 in Betrieb nahm: „Das buggt doch immer noch" und „Bei Sicherung anlegen kommt auch Fehler 500 – wieso ist das alles verbuggt?" Drei Befunde an einem Abend, und sie gehören zusammen: **Jeder einzelne war auf meinem Rechner unsichtbar.**
+
+**1. `git` installiert ist nicht dasselbe wie „Arbeitskopie".** `Updater::state()` gab unter dem Schlüssel `git` zurück, ob der *Befehl* `git` aufrufbar ist. Auf Umuts Hosting ist er das (Version 1.8.3.1), nur ist das Verzeichnis eine Installation aus dem Releasearchiv. Also lief jeder Git-Aufruf ins Leere, und in der Verwaltung stand dort, wo eine Fassungsnummer hingehört: `fatal: Not a git repository`. Dazu eine Vorprüfung voller roter Ausrufezeichen für Bedingungen, die für diese Installation gar nicht gelten. Die Software war in Ordnung und sah kaputt aus – für den Betreiber ist das dasselbe. Der Zustand heißt jetzt `worktree` und wird getrennt von `git` erhoben; ohne Arbeitskopie verschwinden die Git-Karten vollständig, und an ihrer Stelle steht ein Satz: „Eingerichtet über das Releasearchiv."
+
+**2. `VACUUM INTO` gibt es erst seit SQLite 3.27.** Die Sicherung benutzt es, weil eine Dateikopie während eines Schreibvorgangs unbrauchbar sein kann (ADR 038). Auf Umuts Hosting läuft eine ältere Fassung: alt genug für die Installation (die braucht 3.16, ADR aus 1.4.2), zu alt für die Sicherung. Ergebnis: 500 beim Knopf „Sicherung jetzt anlegen". Jetzt wird bei älteren Fassungen unter einer Schreibsperre kopiert – `PRAGMA wal_checkpoint`, `BEGIN IMMEDIATE`, kopieren, `COMMIT` –, und der Test setzt die Schwelle künstlich hoch, damit dieser Weg wirklich läuft und nicht nur auf fremden Servern.
+
+**3. Ein unerwarteter Fehler darf keine 500-Seite sein.** Der Sicherungsknopf fing `InvalidPage` ab, also die *erwarteten* Fälle. Alles andere – alte Datenbankfassung, fehlendes Schreibrecht, voller Datenträger – fiel durch. Genau das sind aber die Fälle, die nur auf fremden Servern auftreten. Der Knopf fängt jetzt jeden Fehler und sagt, woran es lag.
+
+**Was ich daraus mitnehme:** Jeder dieser Fehler war eine *Umgebungsdifferenz*, und keiner davon war durch mehr Tests auf meinem Rechner zu finden. Was hilft, ist zweierlei – eine nachgestellte Installation aus dem echten Releasearchiv (so wurde ADR 071 gefunden) und die Regel, dass ein Knopf in der Verwaltung **niemals** mit einer 500-Seite enden darf, sondern mit einem Satz. Das Zweite ist billiger und fängt auch die Fälle, an die ich nicht gedacht habe.
+
+## ADR 071 – Ein Buchstabe, der die ganze Funktion unbrauchbar machte (13.09.2026)
+
+Umut hat 1.4.3 installiert, den Updateknopf gedrückt und eine **500-Seite** bekommen. Sein Satz dazu: „Das gefällt mir alles ehrlich gesagt nicht. Ich möchte es so einfach wie WordPress." Beides berechtigt.
+
+Nachgestellt wurde es mit einer echten 1.4.3-Installation aus dem Releasearchiv, eigener Datenbank, eigenem Port. Der Fehler stand dann im Protokoll:
+
+```
+Twig\Error\RuntimeError: Key "step" for sequence/mapping with keys
+"label, ok, detail" does not exist in "admin/system.html.twig" at line 137
+```
+
+Der Updater über Git nennt einen Schritt `step`, der neue über das Archiv nannte ihn `label`, und beide legen ihr Ergebnis unter demselben Sitzungsschlüssel ab. Die Vorlage liest `step`. **Das Update lief vollständig durch** – alle neun Schritte in Ordnung, Dateien getauscht, `var/` und `.env` unberührt – und dann starb die Seite, die das berichten sollte. Damit war auch der zweite Knopf unerreichbar, der die Migrationen ausführt, und die Website blieb im Wartungszustand.
+
+**Warum kein Test das gefunden hat.** Zehn Tests prüfen den Archiv-Updater, und alle prüfen sein Rückgabe-Array. Keiner hat die Seite gerendert, die dieses Array anzeigt. Ein Ergebnis, das stimmt, und eine Anzeige, die es nicht lesen kann – das ist dieselbe Familie wie das `og:image`, das gespeichert wurde und nie ankam (ADR 056), und wie das Stylesheet, das nichts mehr tat (ADR 064). **Die Naht zwischen zwei richtigen Hälften ist die Stelle, an der es bricht.** Der Test dazu rendert jetzt `/admin/system` mit den Schritten eines echten Laufs in der Sitzung; gegengeprüft, indem der Fehler noch einmal eingebaut wurde – der Test wird rot.
+
+Der Schlüssel heißt jetzt in beiden Updatern `step`. Nicht die Vorlage wurde nachsichtig gemacht: Zwei Dinge derselben Art beschreiben sich gleich, sonst wiederholt sich das beim nächsten Anzeigeort.
+
+**Und der zweite Teil von Umuts Satz.** Nach dem Tausch stand die Verwaltung mit zwei Karten da, die beide dasselbe wollten – „Migrationen ausführen und freigeben" und „Migrationen stehen aus". Solange das Archiv-Update auf seinen zweiten Schritt wartet, gehört der Knopf an eine Stelle. Zwei Knöpfe, die dasselbe tun, sind eine Frage zu viel.
+
+## ADR 070 – Die zwei Lücken, die erst das Veröffentlichen zeigte (13.09.2026)
+
+Umut, kurz nach dem Release: „Wie spiele ich das Update manuell ein?" Die Frage war berechtigt, und die Antwort hatte zwei Lücken.
+
+**Erstens: Es gab keinen Weg, Migrationen im Browser auszuführen.** Wer die Dateien über FTP hochlädt – und das muss genau einmal jeder tun, dessen Installation die Updatekarte noch nicht kennt –, hat danach neuen Code und eine alte Datenbank. Dafür gab es nur die Konsole, also genau das, was auf geteiltem Hosting fehlt. Der Bildschirm „System" zeigt jetzt eine Karte, **sobald etwas aussteht**, nennt die Namen der Migrationen und führt sie auf Knopfdruck aus. Das Lesen der Liste ist gekapselt: Eine Datenbank, die die Migrationstabelle noch nicht hat, darf nicht der Grund sein, dass dieser Bildschirm gar nicht mehr erscheint.
+
+**Zweitens: „Die Releaseseite antwortet nicht" war drei Fehler in einem Satz.** Beim Gegenprüfen des frischen Releases holte der Updater von diesem Rechner gar nichts – nicht weil die Leitung zu wäre, sondern weil diesem PHP ein **Zertifikatsspeicher** fehlt (`curl.cainfo` leer). Auf einem Webhosting ist das der häufigste der drei Gründe und der einzige, den man in einer Minute behebt; er muss also dastehen. `Download` merkt sich seither, woran es lag, und der Schritt in der Verwaltung trägt den Grund mit.
+
+**Und daraus folgte gleich noch etwas:** Bei genau diesem Fehler lohnt der zweite Weg. Der Dateizeiger benutzt die Einstellungen von OpenSSL, und die sind manchmal gesetzt, wo curl nichts findet – auf diesem Rechner **funktioniert der Abruf dadurch jetzt**. Was nicht passiert, ist das Naheliegende: Die Prüfung wird nicht abgeschaltet. Ein Update, das ohne Zertifikatsprüfung geladen wird, kann unterwegs ausgetauscht worden sein, und dann installiert der Knopf fremden Code.
+
+## ADR 069 – Das größte Bild über der Falz ist gar kein Bild (13.09.2026)
+
+Nachgemessen vor dem Livegang, auf der Startseite des Piloten statt auf einer Testseite: **Leistung 96 (Desktop) und 98 (Mobil)**, alles andere 100. Der Grund stand im Bericht: `LCP request discovery` – das größte Element über der Falz ist dort kein `<img>`, sondern der **Hintergrund des ersten Abschnitts**.
+
+Das ist ein struktureller Unterschied, kein Zufall: Ein `<img>` steht im HTML, der Browser sieht es beim ersten Durchlesen und beginnt zu laden. Ein Hintergrundbild steht im Stylesheet – der Browser erfährt erst von ihm, wenn er das CSS geholt und geparst hat. Die Regel aus ADR 039 („das erste Bild einer Seite lädt sofort") griff genau deshalb nicht: Sie sucht nach einem Bildbaustein, und es gab keinen.
+
+**Drei Vorabverweise mit Medienabfragen, nicht ein `imagesrcset`.** Das war die einzige Entscheidung, die wirklich eine war. Ein `srcset` wählt nach Breite, die Regeln des Compilers wählen nach Gerät – bei einem 1200 px breiten Fenster nähme das eine die 1600er Datei und das andere die 1920er, und der Browser lüde **zwei** Bilder statt einem. Dann kostet das Vorabholen mehr, als es bringt – genau der Fehler, der in diesem Projekt schon einmal fünf Punkte gekostet hat. Die drei Verweise tragen deshalb dieselben Grenzen wie der Compiler (`StyleCompiler::PRELOAD_DEVICES`), und die Variantenwahl ist eine einzige öffentliche Methode, die beide Seiten benutzen. Der Test vergleicht nicht nur, dass Verweise da sind, sondern dass **jeder Verweis dieselbe Datei meint wie die Regel**.
+
+**Gemessen danach: Desktop 97, Mobil 99**, LCP 1,3 s → 1,1 s. Kein Sprung auf 100 – was bleibt, ist das blockierende Stylesheet (300 ms FCP), und das ist zum großen Teil der Entwicklungsserver ohne Kompression, siehe `docs/QUALITY.md`.
+
+**Und ein Nebenfund, der mehr brachte als der Hauptpunkt.** Der Kopf fragte die Mediathek nach demselben Bild, das der Compiler ohnehin schon dreimal gesucht hatte – je Gerät eine Regel, je Regel eine Abfrage. `MediaLibrary::find()` merkt sich jetzt, wonach es in dieser Anfrage schon gefragt wurde: **Startseite 19 → 15 Abfragen**, und zwar einschließlich der Abfrage, die der Vorabverweis neu gebracht hat. Der Merkzettel lebt nur so lange wie die Anfrage, also kann er nicht veralten; beim Hochladen und Ändern wird er trotzdem geleert, weil derselbe Aufruf danach noch liest.
+
+## ADR 068 – Update aus dem Releasearchiv, in zwei Schritten (13.09.2026)
+
+Umut: „Dann Updater für Hoster optimieren?!" Der Updater aus ADR 035 setzt eine Git-Arbeitskopie voraus. Auf geteiltem Hosting gibt es die nicht – dort wird über das Releasearchiv installiert, und die Verwaltung sagte danach „Dieses Verzeichnis ist keine Git-Arbeitskopie". Also kein Update, außer von Hand über FTP. Das ist genau der Fall, für den dieses CMS gedacht ist.
+
+`ArchiveUpdate` geht denselben Weg wie die Erstinstallation: Archiv laden, Prüfsumme vergleichen, entpacken, Dateien ersetzen, migrieren. Drei Unterschiede trennen ein Update von einer Installation, und jeder davon ist eine Entscheidung:
+
+**Was dem Betreiber gehört, wird nicht angefasst.** `var/`, `.env`, `.env.local`, die hochgeladenen Schriften und das erzeugte Stylesheet-Bündel bleiben stehen. Deshalb wird `public/` als einziges Verzeichnis **Datei für Datei zusammengeführt** statt ersetzt: dort liegen die Dateien der Anwendung und die des Betreibers nebeneinander. Ein `rename()` des ganzen Ordners wäre eine Zeile weniger Code und hätte die Schriften gelöscht.
+
+**Der alte Stand wird beiseitegelegt, nicht gelöscht.** Er liegt unter `var/update/<Zeitstempel>/alt/`, bis jemand ihn entfernt. Scheitert das Ersetzen mittendrin, schiebt der Updater zurück, was er schon bewegt hat, und nimmt den Wartungszustand wieder heraus.
+
+**Es sind zwei Knöpfe, und das ist kein Umweg.** Der erste ersetzt die Dateien, der zweite führt die Migrationen aus. Dazwischen liegt eine neue Anfrage – denn ein PHP-Prozess, der sich selbst ausgetauscht hat, arbeitet mit den Klassen weiter, die er beim Start geladen hat. Migrationen im selben Durchgang liefen mit dem Code der alten Fassung. Der Wartungszustand bleibt zwischen beiden Schritten an, und die Oberfläche sagt, dass er es tut.
+
+**Geprüft wird das ohne Netz.** Das Herunterladen ist in `Download` gewandert – eine Klasse, die genau eine Sache tut und die HTTPS-Pflicht an einer einzigen Stelle durchsetzt. Der Test stellt eine Releaseseite in den Speicher und lässt den Rest echt laufen: echte Zip-Archive, echte Prüfsummen, echte Umbenennungen. Die Frage, um die es dabei geht, ist nicht „läuft der Download", sondern: Steht die hochgeladene Schrift danach noch da? Ein Test, der wirklich `git.kant-it.de` abfragt, wäre rot, wenn der Server umzieht, und grün, wenn im Archiv Unsinn steht.
+
+Dazu kommt ein Test, der die Ersetzungsliste des Updaters gegen die Mitnahmeliste von `scripts/build-release.php` hält. Denselben Fehler gab es schon einmal andersherum: `migrations.php` fehlte im Archiv, und es fiel erst auf Umuts Hosting auf.
+
+## ADR 067 – Die Verwaltung auf dem Telefon, und eigene Symbole (13.09.2026)
+
+Umut: „Bitte Backend mobiloptimieren, das Menü ist schlecht." Und kurz darauf: „Machst du auch gleich eigene Icons statt die Web-Dinger zu nutzen – auf dem Smartphone kommen sonst Emojis."
+
+Zwei Beobachtungen, eine Ursache: Die Verwaltung war für einen breiten Bildschirm gebaut. Zwölf Navigationspunkte nebeneinander ergeben auf 390 px eine Zeile, die seitlich hinausläuft.
+
+**Das Menü ist jetzt ein `<details>`**, das ab 760 px Breite aufgeklappt und darunter zugeklappt startet; die Zusammenfassung nennt den Bereich, in dem man gerade steht. Kein Skript, kein Zustand, der verloren gehen kann – und mit Tastatur bedienbar, weil der Browser das mitbringt. Die Ziele sind 44 px hoch, was keine Gestaltungsfrage ist, sondern die Größe einer Fingerkuppe.
+
+**Die Symbole waren Unicode-Zeichen** (▤ ◫ ☰ ▩ ⚙). Auf dem Schreibtisch sehen sie aus wie Symbole; ein Telefon ersetzt sie durch **Emoji** – buntes Zahnrad, bunter Briefumschlag, jedes in einem anderen Stil, und nichts davon in der Schrift der Oberfläche. Jetzt sind es zwölf eigene SVG-Pfade in einer Vorlage: eine Linienstärke, `currentColor`, kein zusätzlicher Request, keine Symbolschrift. Ein Test sucht in der Navigationsvorlage nach Zeichen aus den Emoji-Bereichen und hält jeden verwendeten Namen gegen die Sammlung – ein fehlender Name würde sonst still das Ersatzsymbol zeichnen, und zwei Einträge sähen gleich aus. Genau das war der Fall: „Formulare" und „Benutzer" trugen denselben Pfad.
+
+## ADR 066 – Ein Farbfeld, das beides kann (13.09.2026)
+
+Umut: „Wieso kein Colorpicker?" Berechtigte Frage. Die Farbfelder im Designbereich waren Textfelder – wer Grün wollte, musste `#2e7d5b` wissen.
+
+Der Grund dafür war echt: Ein `<input type="color">` kann **nur** eine Farbe. Die Gestaltung dieses CMS kennt aber auch `@akzent` – einen Verweis auf die Palette, der sich ändert, wenn die Palette sich ändert. Ein Farbwähler hätte daraus beim ersten Klick einen festen Wert gemacht und die Verbindung stillschweigend gekappt.
+
+**Das Textfeld bleibt deshalb maßgeblich**, und daneben stehen ein Farbfeld und eine Auswahl der Palettenfarben. Wer im Farbfeld zieht, schreibt einen Hexwert in das Textfeld; wer `@akzent` tippt, behält den Verweis, und das Farbfeld zeigt daneben nur an, wie diese Farbe gerade aussieht. Aufgebaut wird das von einem kleinen Skript über das vorhandene Feld: Ohne JavaScript bleibt das Textfeld übrig und die Seite vollständig bedienbar.
+
 ## ADR 056 – Das Vorschaubild beim Teilen, und die robots.txt als Bot-Steuerung (13.09.2026)
 
 Umut: „Hast du auch schon SEO und Siteindex usw. übernommen?“ Der Abgleich mit dem Original war die Antwort – und er förderte einen Fehler der eigenen Software zutage.

docs/NEUE-WEBSITE.md

@@ -34,6 +34,10 @@ DATABASE_URL="sqlite:///…/var/kunde.db" MEDIA_DIRECTORY="…/var/kunde-media"
 Oder im Browser über `/install` – sechs Schritte, legt Startseite, Kopf, Fuß, Menü, Impressum und
 Datenschutzgerüst gleich mit an.
 
+**Die Verwaltung muss nicht `/admin` heißen.** `ADMIN_PATH` in `.env` setzt die Adresse; `php
+bin/console cms:admin:path <neu>` prüft, ändert und sagt, welcher Zwischenspeicher danach zu leeren
+ist. Bei einer Kundenwebsite lohnt das: `/admin` ist die erste Adresse, die ein Scanner probiert.
+
 Zum Ansehen ein eigener Server auf einem eigenen Port:
 
 ```bash
@@ -96,6 +100,10 @@ Dokument nichts einfügen.
 (`/admin/theme`): ein Block, der `@accent` sagt, ändert sich mit dem Theme; einer, der `#c1121f`
 sagt, nicht. Die Palette färbt auch Knöpfe, Symbole, Fokusringe und den Einwilligungsdialog.
 
+Jedes Farbfeld hat einen Farbwähler und die Palettenfarben zur Auswahl. **Das Textfeld daneben
+bleibt maßgeblich**: wer dort `@accent` stehen lässt, behält den Verweis auf die Palette; wer im
+Farbwähler zieht, schreibt einen festen Wert hinein und kappt ihn.
+
 Feste Größen nur, wo sie gemeint sind. `maxWidth` ohne `margin: auto` zentriert nichts – das war
 hier schon zweimal die Ursache eines „geht nicht".
 
@@ -115,6 +123,9 @@ falsch – nicht „nur die Vorschau".
   `sizes`-Attribut, und der Browser lädt die kleine Variante. Ohne das lud ein 190-px-Logo die
   960er Datei.
 - Hintergrundbilder werden je Gerät verkleinert, auch wenn sie nur einmal gesetzt wurden.
+- „Beim Klick" entscheidet je Bild, ob nichts passiert, ob es sich vergrößert oder ob es zu einer
+  Adresse führt; eine Galerie hat dafür einen Schalter. Zugrunde liegt ein gewöhnlicher Verweis
+  auf die große Fassung – ohne JavaScript öffnet ein Klick sie, nichts ist kaputt.
 
 ---
 
@@ -184,6 +195,22 @@ Adressen prüfen.
 
 ---
 
+## 11. Updates dieser Installation
+
+Zwei Wege, und welcher gilt, entscheidet das Hosting:
+
+- **Mit Git** (eigener Server, Shell-Zugriff): Bildschirm „System" oder `php bin/console cms:update`.
+  Vorprüfung, Sicherung, Wartungszustand, Checkout, Migration, Rauchtest, Rückweg.
+- **Ohne Git** (geteiltes Hosting, über `install.php` installiert): im selben Bildschirm die Karte
+  „Update aus dem Releasearchiv" – zwei Knöpfe, der zweite führt die Migrationen aus. `var/`, `.env`,
+  hochgeladene Schriften und das erzeugte Stylesheet-Bündel bleiben unberührt.
+
+Beides steht ausführlich in `docs/UPDATE.md`. Wichtig für den, der eine Website baut: **nichts von
+dem, was diese Website ausmacht, liegt im Code**, also überlebt es beide Wege. Wer dafür doch eine
+Twig-Datei angefasst hat, verliert die Änderung beim ersten Update – siehe Abschnitt 0.
+
+---
+
 ## Was in diesem Projekt immer wieder schiefging
 
 Wer diese fünf kennt, spart sich die Suche:

docs/STATUS.md

@@ -1,11 +1,13 @@
 # Projektstatus
 
-Stand: 13.09.2026, Fassung **1.4.0**. Das System heißt **KantSites** (vorher Arbeitstitel „Kant CMS“). **Startseite von 18 auf 8 Datenbankabfragen, gemessenes Ladebudget, alle langen Listen blättern. Sicherung und Wiederherstellung, letztere nachgewiesen. Globale Seitenbreite wirkt jetzt auch nach oben, vier Menüplätze mit drei Menüarten, und jede Seite wählt ihren Kopf- und Fußbereich – auch „keiner“. 93 Gestaltungseigenschaften, neun Einblendungen, sieben Hover-Effekte, Symbol, Fortschritt und ein Slider ohne JavaScript. Update über Git mit Vorprüfung, Sicherung und Rückweg. Statistik ohne Wiedererkennung und damit ohne Einwilligung. Einwilligung mit tatsächlich zurückgehaltenen Einbettungen, Datenschutz und Impressum als Pflichtseiten. Benutzerverwaltung in der Oberfläche, Mediathek als eigene Seite mit Blättern. Die Verwaltung hat einen gemeinsamen Rahmen mit einer Navigation, die zeigt, wo man ist. Eigenes CSS je Element für alle, eigenes Skript nur für Administratoren und nur als eigene Datei. Formatierter Text mit Werkzeugleiste und HTML-Ansicht, serverseitig gegen eine Positivliste gefiltert. Kopf- und Fußbereich sind frei gestaltbare Blockdokumente, dazu verknüpfte wiederverwendbare Sektionen (Arbeitspaket G, Teil 1). Frei wählbare Startseite; `/sitemap.xml` und Geschwister waren lokal nie erreichbar und sind es jetzt. Seiten verschieben mit automatischen Weiterleitungen, Papierkorb, Fassungsverlauf und geplante Veröffentlichung (Arbeitspaket F). Browsertests wiederhergestellt und erweitert; dabei drei echte Fehler gefunden und behoben, darunter die in der Vorschau wirkungslose Gestaltung. Direktbearbeitung in der Vorschau, Kontrastwarnung, Gestaltungsvorlagen und Bildauswahl für Hintergrundbilder. Der Editor gestaltet frei statt über feste Auswahllisten: eigene Farbpalette, Schriften, und jede Eigenschaft je Block, je Gerät und für den Hover-Zustand frei einstellbar (Dokumentschema v10). SEO-Grundlage mit Sitemap, robots.txt, Weiterleitungen und strukturierten Daten (Arbeitspaket E). Formulare mit serverseitiger Validierung, Einwilligung, E-Mail-Versand und Spamschutz (Arbeitspaket D). Tabs als fortschreitende Verbesserung mit JavaScript (Dokumentschema v7). Zehn neue Blöcke für die Abschnitte der Pilotstartseite (Arbeitspaket C). Beiträge mit Datum, Autor, Auszug, Beitragsbild, Kategorien, Schlagwörtern, Archiven, einbettbarer Beitragsliste und RSS (Arbeitspaket B). Menüs mit Seiten-, Anker- und externen Zielen ersetzen die fest verdrahtete Navigation (Arbeitspaket A). Seiten und Beiträge lassen sich im Browser anlegen und löschen, mit Adresshierarchie bis vier Ebenen.** Die vollständige Phase-1-Abnahme bleibt wegen des fehlenden UX-Builder-Referenzabgleichs offen.
+Stand: 13.09.2026, Fassung **1.4.6**. Das System heißt **KantSites** (vorher Arbeitstitel „Kant CMS“). **Startseite von 18 auf 8 Datenbankabfragen, gemessenes Ladebudget, alle langen Listen blättern. Sicherung und Wiederherstellung, letztere nachgewiesen. Globale Seitenbreite wirkt jetzt auch nach oben, vier Menüplätze mit drei Menüarten, und jede Seite wählt ihren Kopf- und Fußbereich – auch „keiner“. 93 Gestaltungseigenschaften, neun Einblendungen, sieben Hover-Effekte, Symbol, Fortschritt und ein Slider ohne JavaScript. Update über Git mit Vorprüfung, Sicherung und Rückweg. Statistik ohne Wiedererkennung und damit ohne Einwilligung. Einwilligung mit tatsächlich zurückgehaltenen Einbettungen, Datenschutz und Impressum als Pflichtseiten. Benutzerverwaltung in der Oberfläche, Mediathek als eigene Seite mit Blättern. Die Verwaltung hat einen gemeinsamen Rahmen mit einer Navigation, die zeigt, wo man ist. Eigenes CSS je Element für alle, eigenes Skript nur für Administratoren und nur als eigene Datei. Formatierter Text mit Werkzeugleiste und HTML-Ansicht, serverseitig gegen eine Positivliste gefiltert. Kopf- und Fußbereich sind frei gestaltbare Blockdokumente, dazu verknüpfte wiederverwendbare Sektionen (Arbeitspaket G, Teil 1). Frei wählbare Startseite; `/sitemap.xml` und Geschwister waren lokal nie erreichbar und sind es jetzt. Seiten verschieben mit automatischen Weiterleitungen, Papierkorb, Fassungsverlauf und geplante Veröffentlichung (Arbeitspaket F). Browsertests wiederhergestellt und erweitert; dabei drei echte Fehler gefunden und behoben, darunter die in der Vorschau wirkungslose Gestaltung. Direktbearbeitung in der Vorschau, Kontrastwarnung, Gestaltungsvorlagen und Bildauswahl für Hintergrundbilder. Der Editor gestaltet frei statt über feste Auswahllisten: eigene Farbpalette, Schriften, und jede Eigenschaft je Block, je Gerät und für den Hover-Zustand frei einstellbar (Dokumentschema v10). SEO-Grundlage mit Sitemap, robots.txt, Weiterleitungen und strukturierten Daten (Arbeitspaket E). Formulare mit serverseitiger Validierung, Einwilligung, E-Mail-Versand und Spamschutz (Arbeitspaket D). Tabs als fortschreitende Verbesserung mit JavaScript (Dokumentschema v7). Zehn neue Blöcke für die Abschnitte der Pilotstartseite (Arbeitspaket C). Beiträge mit Datum, Autor, Auszug, Beitragsbild, Kategorien, Schlagwörtern, Archiven, einbettbarer Beitragsliste und RSS (Arbeitspaket B). Menüs mit Seiten-, Anker- und externen Zielen ersetzen die fest verdrahtete Navigation (Arbeitspaket A). Seiten und Beiträge lassen sich im Browser anlegen und löschen, mit Adresshierarchie bis vier Ebenen.** Die vollständige Phase-1-Abnahme bleibt wegen des fehlenden UX-Builder-Referenzabgleichs offen.
 
 Erster Commit angelegt (`82b0782`); das Projekt hat damit einen Rückfallpunkt. Noch kein Remote und kein Push.
 
 **Für den Livegang vorbereitet (13.09.2026):** `docs/LIVEGANG.md` trennt, was geprüft ist, von dem, was nur auf dem echten Hosting geprüft werden kann, und nennt die Reihenfolge am Umzugstag. **14 Weiterleitungen** von den alten WordPress-Adressen auf die neuen sind angelegt und beantwortet (`/productsolutions` → `/projekte`, die gekürzten Beitragsadressen, `/category/allgemein`); ohne sie hätte jede bei Google stehende Adresse nach dem Umzug mit 404 geantwortet. In der Datenschutzerklärung wurde der Abschnitt über Google Fonts an die Wirklichkeit angepasst (die Schriften kommen jetzt vom eigenen Server) und die Abschnitte über Google Maps und reCAPTCHA entfernt, weil beides nicht eingebunden ist – eine Erklärung, die Datenflüsse beschreibt, die es nicht gibt, ist so falsch wie eine, die welche verschweigt. **Nicht geprüft und nicht prüfbar von hier: der E-Mail-Versand.**
 
+**Verwaltung und Updateweg (1.4.3, 13.09.2026):** Die Farbfelder im Designbereich haben einen **Farbwähler** samt Palettenauswahl; das Textfeld bleibt maßgeblich, damit `@akzent` ein Verweis bleibt und nicht beim ersten Klick zu einem festen Hexwert erstarrt (ADR 066). Die Verwaltung ist **auf dem Telefon bedienbar**: das Menü ist unter 760 px ein zugeklapptes `<details>`, das den aktuellen Bereich nennt, mit 44 px hohen Zielen – ohne Skript. Die zwölf Navigationssymbole sind **eigene SVG-Pfade** statt Unicode-Zeichen, die ein Telefon zu bunten Emoji macht (ADR 067). Und es gibt ein **Update ohne Git**: `ArchiveUpdate` lädt das Releasearchiv, vergleicht die Prüfsumme, sichert, ersetzt die Dateien und führt die Migrationen in einer zweiten Anfrage aus – der einzige Updateweg auf geteiltem Hosting (ADR 068, `docs/UPDATE.md`).
+
 **Nachbau nachgezogen (13.09.2026):** Der Fußbereich ist jetzt vierspaltig wie im Original – Zeichen und Satz, „Leistungen", „Unternehmen", „Kontakt", darunter die Zeile mit Copyright. Die beiden Linklisten sind **Menüs**, keine Dokumentinhalte: sie lassen sich in der Verwaltung pflegen. Alle **29 Beiträge haben jetzt Text** – die elf fehlenden sind neu geschrieben, denn auch im Original stehen dort nur Bildergalerien ohne Beschreibung. Die Karte „Bereit für den nächsten Schritt" hat 34 px Abstand zu den Kontaktzeilen darunter. **Nicht erledigt: das TeamViewer-Logo** im Fernwartungsbereich – dazu unten.
 
 **Vom Original übernommen (13.09.2026):** die Meta-Beschreibung der Startseite im Wortlaut von kant-it.de, das Symbol der Website (dort 192 × 192) und die Bot-Regeln der robots.txt. Titel, Canonical, Open Graph, strukturierte Daten (`LocalBusiness` statt Yoasts `ProfessionalService`), Sitemap, robots.txt und `llms.txt` entstehen in KantSites aus dem Inhalt und stimmen mit dem Original überein. **Beim Abgleich aufgefallen:** das `og:image` des echten kant-it.de zeigt auf `wp-content/uploads/kant-it-share.png` – die Datei antwortet mit 404, beim Teilen erscheint dort also kein Bild.
@@ -37,6 +39,17 @@ Erster Commit angelegt (`82b0782`); das Projekt hat damit einen Rückfallpunkt.
 - **Das erste Bild einer Seite lädt sofort**, alles darunter weiterhin verzögert. Es ist meistens das größte Ding über der Falz.
 - **Slider mit Punkten ohne Skript** (ADR 044): `::scroll-marker` zeichnet je Folie einen Punkt, der aktive ist erkennbar, die Rollleiste entfällt; ältere Browser behalten das wischbare Schiebefeld. Beitragskarten sind echte Karten (Bild 16:10, 18 px Ecken). Überschriften dürfen ein Wort hervorheben (`<mark>`, in Akzentfarbe). Behoben: die Theme-Schriftskala überschrieb die Größen in Karten und Aufruf-Bändern.
 - **„Weiterlesen" ist jetzt ein Link.** In der wechselseitigen Beitragsliste stand dort eine reine Beschriftung: sie sah aus wie ein Knopf und war keiner. Der Titel steckt für Vorlesesoftware im Linktext, damit nicht zwölf Links gleich heißen.
+- **Behoben in 1.4.5: die Verwaltung zeigte Git-Fehler auf einer Installation ohne Git** (ADR 072). `git` installiert und „Arbeitskopie" waren derselbe Schalter; auf Umuts Hosting ist Git vorhanden, die Installation kam aber aus dem Releasearchiv. Dort stand `fatal: Not a git repository` an der Stelle der Fassungsnummer und eine rote Vorprüfung für Bedingungen, die gar nicht gelten. Ohne Arbeitskopie verschwinden die Git-Karten jetzt.
+- **Behoben in 1.4.5: „Sicherung anlegen" endete mit 500** (ADR 072). `VACUUM INTO` gibt es erst seit SQLite 3.27; Umuts Hosting hat eine ältere Fassung. Bei älteren wird unter einer Schreibsperre kopiert, und der Sicherungsknopf fängt jeden Fehler ab, statt mit einer 500-Seite zu enden.
+- **Das Update schreibt mit** (1.4.6, ADR 071): Jeder Schritt des Archiv-Updaters geht sofort nach `var/updates.log` – während des Laufs, nicht am Ende. Auf Umuts Hosting war die Ergebnisseite tot, und damit war auch verloren, was der Updater berichtet hatte; genau so wurde der nächste Fehlschlag dann doch noch lesbar („`bin` ließ sich nicht beiseitelegen – der alte Stand wurde zurückgeschoben"). Die Ergebnisseite versteht zusätzlich die Schreibweise bis 1.4.4: Beim Update schreibt der **alte** Code die Schritte und der **neue** zeigt sie an.
+- **Behoben in 1.4.5: der Updateknopf endete mit 500** (ADR 071). Auf Umuts Hosting gefunden, mit einer echten 1.4.3-Installation nachgestellt: Das Update lief vollständig durch – alle neun Schritte, Dateien getauscht, `var/` und `.env` unberührt –, aber die **Ergebnisseite** starb daran. Der Updater über Git nennt einen Schritt `step`, der über das Archiv nannte ihn `label`, beide legen ihn unter demselben Sitzungsschlüssel ab, und die Vorlage liest `step`. Damit war auch der zweite Knopf unerreichbar und die Website blieb im Wartungszustand. Zehn Tests prüften das Rückgabe-Array, keiner die Seite, die es anzeigt; der neue Test rendert sie und wurde gegengeprüft, indem der Fehler noch einmal eingebaut wurde.
+- **Migrationen im Browser ausführen** (1.4.4, ADR 070): Wer ein Update von Hand über FTP einspielt, hat danach neuen Code und eine alte Datenbank. Der Bildschirm „System" zeigt jetzt eine Karte, sobald etwas aussteht, nennt die Namen und führt sie auf Knopfdruck aus – vorher ging das nur über eine Konsole, also genau das, was auf geteiltem Hosting fehlt. Der Weg von Hand steht Schritt für Schritt in `docs/UPDATE.md`.
+- **Ein Fehlschlag beim Laden sagt, woran es lag** (1.4.4, ADR 070): „Die Releaseseite antwortet nicht" war drei Ursachen in einem Satz. Beim Gegenprüfen des Releases fiel auf, dass diesem PHP der **Zertifikatsspeicher** fehlt – auf einem Webhosting der häufigste Grund und der einzige, den man in einer Minute behebt. Die Meldung nennt ihn jetzt, und bei genau diesem Fehler wird der zweite Weg über den Dateizeiger versucht. Abgeschaltet wird die Prüfung nicht.
+- **Das Hintergrundbild des ersten Abschnitts wird vorab geholt** (1.4.3, ADR 069): Auf der Startseite des Piloten ist das größte Element über der Falz kein `<img>`, sondern der Hintergrund des Heros – und der steht nur im Stylesheet, das der Browser erst nach dem HTML holt. Drei Vorabverweise mit denselben Gerätegrenzen wie der Compiler holen **genau die Variante, die die Regel auch nimmt**; ein `imagesrcset` hätte bei manchen Fensterbreiten ein zweites Bild geladen. Gemessen: LCP 1,3 s → 1,1 s, Leistung Desktop 96 → 97, Mobil 98 → 99 (auf dem Entwicklungsserver ohne Kompression). Dabei gefunden: dasselbe Bild wurde je Geräteregel neu abgefragt – die Mediathek merkt sich jetzt, wonach sie in dieser Anfrage schon gefragt wurde, **Startseite 19 → 15 Abfragen**.
+- **Update aus dem Releasearchiv** (1.4.3, ADR 068): der Weg für Installationen ohne Git – bisher stand dort nur „Dieses Verzeichnis ist keine Git-Arbeitskopie". Zwei Knöpfe im Bildschirm „System": der erste lädt, prüft die Prüfsumme, sichert und ersetzt die Dateien, der zweite führt die Migrationen aus – in einer eigenen Anfrage, weil ein Prozess, der sich selbst ausgetauscht hat, mit dem alten Code weiterarbeitet. `var/`, `.env`, hochgeladene Schriften und das erzeugte Stylesheet-Bündel bleiben unberührt, `public/` wird dazu Datei für Datei zusammengeführt. Der alte Stand liegt danach unter `var/update/`. Geprüft mit acht Tests gegen eine Releaseseite im Speicher (`tests/ArchiveUpdateTest.php`), einer davon hält die Ersetzungsliste gegen die Mitnahmeliste des Releaseskripts.
+- **Eigene Symbole in der Verwaltung** (1.4.3, ADR 067): zwölf SVG-Pfade statt Unicode-Zeichen, die auf dem Telefon als Emoji in fremdem Stil erscheinen. Ein Test findet Emoji-Zeichen in der Navigationsvorlage und zwei Einträge mit demselben Pfad – beides war vorhanden.
+- **Verwaltung auf dem Telefon** (1.4.3, ADR 067): das Menü klappt unter 760 px zu und nennt in der Zusammenfassung den Bereich, in dem man steht; Ziele 44 px hoch, kein Skript, kein seitliches Scrollen. Geprüft bei 390 px.
+- **Farbwähler im Designbereich** (1.4.3, ADR 066): Farbfeld und Palettenauswahl neben dem Textfeld, das maßgeblich bleibt – ein `<input type="color">` allein hätte `@akzent` in einen festen Wert verwandelt und die Verbindung zur Palette gekappt. Ohne JavaScript bleibt das Textfeld.
 - **Behoben in 1.4.2: die Systemprüfung nennt jetzt die SQLite-Fassung.** Auf dem Hosting scheiterte die Installation im dritten Schritt mit „near \"(\": syntax error" – dort läuft SQLite in einer Fassung vor 3.16, und Doctrine liest das Schema mit Tabellenfunktionen (`pragma_table_info(...)`), die es erst seit 3.16 gibt. Die Prüfung nennt die gefundene Fassung vor der Wahl der Datenbank, und der Datenbankschritt bietet SQLite gar nicht erst an, wenn sie zu alt ist – mit dem Hinweis auf MySQL. Eine Voraussetzung, die erst mitten in der Installation auffällt, ist keine Prüfung wert.
 - **Behoben in 1.4.1: dem Releasearchiv fehlten `migrations.php` und `cli-config.php`.** Auf dem Hosting brach die Installation deshalb im dritten Schritt ab – „The configuration file does not exist", genau dort, wo die Tabellen entstehen sollten. Die beiden Dateien standen weder in der Mitnahme- noch in der Ausschlussliste des Releaseskripts, also fiel niemandem auf, dass sie fehlen. Ein Test ordnet jetzt **jeden** Eintrag im Projektstamm einer der beiden Listen zu; was neu dazukommt und unbedacht bleibt, lässt ihn fehlschlagen. Der Installationsweg wurde anschließend vollständig durchgespielt: 3504 Dateien entpackt, 14 Migrationen ausgeführt, 15 Tabellen angelegt.
 - **Fassung 1.4.0 ist veröffentlicht** und der Installationsweg einmal vollständig durchgespielt: `install.php` aus dem Release geladen (anonym, ohne Anmeldung), in ein leeres Verzeichnis gelegt, aufgerufen – es lädt `kantsites-1.4.0.zip` (4,7 MB, 3502 Dateien mit `vendor/`), prüft die SHA-256-Summe, entpackt und löscht sich selbst. Die frische Installation antwortet mit der Systemprüfung unter `/install`. **Das Repository ist dafür öffentlich** – ein privates liefert die Downloadadresse ohne Anmeldung nicht aus.
@@ -179,6 +192,8 @@ Erster Commit angelegt (`82b0782`); das Projekt hat damit einen Rückfallpunkt.
 - v3-Galerieseite mit echten optimierten Testbildern und Effekten: sechs Lighthouse-Läufe, alle fünf Kategorien jeweils 100; LCP-Median mobil 937 ms/Desktop 279 ms, CLS/TBT 0. Upload, Metadaten, Mehrfachauswahl per Tastatur, Bildbeschriftung, Sortier-Undo, Archivieren/Wiederherstellen, Bewegungsreduktion und öffentliche Bilder im isolierten Browserablauf bestanden. Keine axe-Verstöße in Desktop-/Mobil-Mediathek; Screenshots geprüft. Berichte: `docs/quality/editor-media-browser.json` und `editor-media-lighthouse.json`.
 - Keine bekannten Dependency-Advisories im ausgeführten Composer-Audit/npm-Installationsaudit.
 
+**Gemessen am Nachbau selbst (13.09.2026, Fassung 1.4.3):** je drei mobile und drei Desktop-Läufe auf `/`, `/projekte` und `/impressum` im Produktionsmodus, Median. Barrierefreiheit, Best Practices, SEO und agentisches Browsen überall **100**. Leistung: `/projekte` und `/impressum` **100/100**, die Startseite **99 mobil / 97 Desktop** – dort bleibt das blockierende Stylesheet (rund 300 ms erste Anzeige) das Letzte, und das ist zu einem guten Teil der Entwicklungsserver ohne Kompression und Cache-Kopfzeilen. Bericht: `docs/quality/kantit-lighthouse.json`. **Auf dem echten Hosting nachmessen** – dort greifen die Regeln aus `public/.htaccess`.
+
 ## Bekannte Einschränkungen
 
 - Gestaltung über geprüfte Tokens, keine beliebigen Pixelwerte, eigenen Schriften oder freien Farben. Noch keine Inline-Textbearbeitung, Formulare, dynamischen Menüs, Plugin-/Themeverwaltung oder WordPress-Import. Abschnittsvorlagen sind lokale Blockrezepte, keine globale Templateverwaltung.

docs/UPDATE.md

@@ -62,6 +62,41 @@ Der teuerste Fall ist ein Update, das durchläuft und erst Tage später als fals
 - Kein `down()`-Rückweg für Migrationen. Der Rückweg ist die Sicherung, und das ist eine Entscheidung, nicht eine Lücke.
 - Kein Update ohne Sicherung, auch nicht mit Häkchen „ich weiß, was ich tue“.
 
+## Der zweite Weg: Update aus dem Releasearchiv
+
+Alles bis hierhin setzt eine Git-Arbeitskopie voraus. Auf geteiltem Hosting gibt es die nicht – dort wird über `install.php` aus dem Releasearchiv installiert, und danach stand in der Verwaltung „Dieses Verzeichnis ist keine Git-Arbeitskopie". **`src/Ops/ArchiveUpdate.php` ist der Weg für genau diese Installationen** (ADR 068). Er steht im Bildschirm „System" als eigene Karte neben dem Update über Git.
+
+Der Ablauf ist derselbe wie oben, nur ohne `git`:
+
+1. **Fassung ermitteln.** Die Releaseliste nennt den neuesten Tag. Antwortet sie nicht – viele Hoster lassen keine ausgehenden Verbindungen zu –, endet es hier, und es wurde nichts angefasst.
+2. **Sichern.** Datenbank und Medien nach `var/backups/`, vor dem ersten Handgriff.
+3. **Archiv laden und Prüfsumme vergleichen.** Stimmt sie nicht, wird nicht entpackt. Die Adresse steht in der Konfiguration, nicht in der Anfrage.
+4. **Entpacken und auf Vollständigkeit prüfen.** Fehlen `VERSION` oder `vendor/`, ist es kein brauchbares Release – und das fällt auf, bevor der Wartungszustand angeht.
+5. **Wartungszustand an, Dateien ersetzen.** `bin`, `config`, `migrations`, `src`, `templates`, `vendor`, `composer.json`, `composer.lock`, `migrations.php`, `cli-config.php`, `VERSION`. Der alte Stand wandert nach `var/update/<zeitstempel>/alt/`, er wird nicht gelöscht.
+6. **`public/` wird zusammengeführt, nicht ersetzt.** Dort liegen Dateien der Anwendung und Dateien des Betreibers nebeneinander: `assets/fonts` (hochgeladene Schriften) und `assets/build` (das erzeugte Stylesheet-Bündel) bleiben unangetastet.
+7. **Zwischenspeicher leeren.**
+8. **Zweiter Knopf: Migrationen.** Sie laufen in einer **eigenen Anfrage**, weil ein PHP-Prozess, der sich selbst ausgetauscht hat, mit den Klassen weiterarbeitet, die er beim Start geladen hat. Erst danach geht der Wartungszustand aus.
+
+Unberührt bleiben in jedem Fall `var/`, `.env` und `.env.local`. Scheitert das Ersetzen mittendrin, schiebt der Updater zurück, was er bewegt hat, und nimmt den Wartungszustand wieder heraus.
+
+**Geprüft wird ohne Netz** (`tests/ArchiveUpdateTest.php`): eine Releaseseite im Speicher, echte Zip-Archive, echte Prüfsummen, echte Umbenennungen in einem Wegwerfverzeichnis. Ein Test hält zusätzlich die Ersetzungsliste gegen die Mitnahmeliste von `scripts/build-release.php`: Was neu ins Archiv kommt, muss beim Update auch ersetzt werden.
+
+## Der dritte Weg: von Hand über FTP
+
+Der Weg für den einen Fall, in dem die Karte im Bildschirm „System" noch nicht existiert: **das Update auf die Fassung, die sie mitbringt.** Eine Installation der Fassung 1.4.2 kennt sie nicht – sie muss einmal von Hand nachgezogen werden, danach gibt es den Knopf.
+
+1. **Sichern.** Verwaltung → System → „Sicherung anlegen". Zusätzlich per FTP `var/` und `.env` herunterladen. Migrationen sind nicht umkehrbar; der Rückweg ist die Sicherung.
+2. **Archiv holen und auspacken.** `kantsites-<fassung>.zip` von der Releaseseite, auf dem eigenen Rechner entpacken. Darin liegt ein Ordner `kantsites-<fassung>/`.
+3. **Wartungszustand einschalten.** Verwaltung → System → „Wartung". Sonst sieht ein Besucher währenddessen eine halb ersetzte Anwendung.
+4. **Diese Einträge hochladen und ersetzen:** `bin`, `config`, `migrations`, `src`, `templates`, `vendor`, `composer.json`, `composer.lock`, `migrations.php`, `cli-config.php`, `VERSION`. Verzeichnisse ersetzen, nicht hineinkopieren – eine Datei, die es in der neuen Fassung nicht mehr gibt, muss weg.
+5. **`public/` Datei für Datei** – und **`public/assets/fonts` und `public/assets/build` auslassen**. Dort liegen die hochgeladenen Schriften und das erzeugte Stylesheet-Bündel; beide gehören dem Betreiber und stehen in keinem Archiv.
+6. **Nicht anfassen:** `var/`, `.env`, `.env.local`. Dort stecken Inhalte, Medien und `APP_SECRET`.
+7. **`var/cache` vollständig löschen.** Sonst läuft die neue Fassung mit den Wegweisern der alten und antwortet mit 500, obwohl der Code richtig ist.
+8. **Migrationen ausführen.** Verwaltung → System → Karte „Migrationen stehen aus" → Knopf. Die Karte erscheint nur, wenn welche ausstehen. Wer eine Konsole hat, kann stattdessen `php vendor/bin/doctrine-migrations migrate --no-interaction` aufrufen.
+9. **Wartungszustand aus**, Startseite und Verwaltung einmal aufrufen, Fassungsnummer im Bildschirm „System" prüfen.
+
+Das ist einmalig: Ab 1.4.3 kennt jede Installation den Weg über das Archiv, und dann entfällt das alles. Dann steht im selben Bildschirm die Karte „Update aus dem Releasearchiv", und die Schritte 2 bis 8 erledigt sie selbst.
+
 ## Ein Release veröffentlichen
 
 `php scripts/build-release.php` baut auf einem Rechner mit Composer das Archiv – Anwendung plus `vendor/` ohne Entwicklungspakete – und schreibt die SHA-256-Summe in eine Kopie von `install.php`. Beides gehört anschließend an das Git-Release des passenden Tags:

docs/quality/kantit-lighthouse.json

@@ -0,0 +1,434 @@
+[
+  {
+    "path": "/",
+    "profile": "mobile",
+    "scores": {
+      "performance": 0.99,
+      "accessibility": 1,
+      "best-practices": 1,
+      "seo": 1,
+      "agentic-browsing": 1
+    },
+    "lighthouseVersion": "13.4.1",
+    "settings": {
+      "output": "json",
+      "maxWaitForFcp": 30000,
+      "maxWaitForLoad": 45000,
+      "pauseAfterFcpMs": 1000,
+      "pauseAfterLoadMs": 1000,
+      "networkQuietThresholdMs": 1000,
+      "cpuQuietThresholdMs": 1000,
+      "formFactor": "mobile",
+      "throttling": {
+        "rttMs": 150,
+        "throughputKbps": 1638.4,
+        "requestLatencyMs": 562.5,
+        "downloadThroughputKbps": 1474.5600000000002,
+        "uploadThroughputKbps": 675,
+        "cpuSlowdownMultiplier": 4
+      },
+      "throttlingMethod": "simulate",
+      "screenEmulation": {
+        "mobile": true,
+        "width": 412,
+        "height": 823,
+        "deviceScaleFactor": 1.75,
+        "disabled": false
+      },
+      "emulatedUserAgent": "Mozilla/5.0 (Linux; Android 11; moto g power (2022)) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Mobile Safari/537.36",
+      "auditMode": false,
+      "gatherMode": false,
+      "clearStorageTypes": [
+        "file_systems",
+        "shader_cache",
+        "service_workers",
+        "cache_storage"
+      ],
+      "disableStorageReset": false,
+      "debugNavigation": false,
+      "channel": "node",
+      "usePassiveGathering": false,
+      "disableFullPageScreenshot": false,
+      "skipAboutBlank": false,
+      "blankPage": "about:blank",
+      "ignoreStatusCode": false,
+      "locale": "en-US",
+      "blockedUrlPatterns": null,
+      "additionalTraceCategories": null,
+      "extraHeaders": null,
+      "precomputedLanternData": null,
+      "onlyAudits": null,
+      "onlyCategories": null,
+      "skipAudits": null
+    },
+    "environment": {
+      "networkUserAgent": "Mozilla/5.0 (Linux; Android 11; moto g power (2022)) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/153.0.0.0 Mobile Safari/537.36",
+      "hostUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) HeadlessChrome/153.0.8010.12 Safari/537.36",
+      "benchmarkIndex": 5208.5,
+      "credits": {
+        "axe-core": "4.13.0"
+      }
+    },
+    "note": "Local prototype only. No customer-site acceptance or field-data claim."
+  },
+  {
+    "path": "/",
+    "profile": "desktop",
+    "scores": {
+      "performance": 0.97,
+      "accessibility": 1,
+      "best-practices": 1,
+      "seo": 1,
+      "agentic-browsing": 1
+    },
+    "lighthouseVersion": "13.4.1",
+    "settings": {
+      "output": "json",
+      "maxWaitForFcp": 30000,
+      "maxWaitForLoad": 45000,
+      "pauseAfterFcpMs": 1000,
+      "pauseAfterLoadMs": 1000,
+      "networkQuietThresholdMs": 1000,
+      "cpuQuietThresholdMs": 1000,
+      "formFactor": "desktop",
+      "throttling": {
+        "rttMs": 40,
+        "throughputKbps": 10240,
+        "requestLatencyMs": 0,
+        "downloadThroughputKbps": 0,
+        "uploadThroughputKbps": 0,
+        "cpuSlowdownMultiplier": 1
+      },
+      "throttlingMethod": "simulate",
+      "screenEmulation": {
+        "mobile": false,
+        "width": 1350,
+        "height": 940,
+        "deviceScaleFactor": 1,
+        "disabled": false
+      },
+      "emulatedUserAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Safari/537.36",
+      "auditMode": false,
+      "gatherMode": false,
+      "clearStorageTypes": [
+        "file_systems",
+        "shader_cache",
+        "service_workers",
+        "cache_storage"
+      ],
+      "disableStorageReset": false,
+      "debugNavigation": false,
+      "channel": "node",
+      "usePassiveGathering": false,
+      "disableFullPageScreenshot": false,
+      "skipAboutBlank": false,
+      "blankPage": "about:blank",
+      "ignoreStatusCode": false,
+      "locale": "en-US",
+      "blockedUrlPatterns": null,
+      "additionalTraceCategories": null,
+      "extraHeaders": null,
+      "precomputedLanternData": null,
+      "onlyAudits": null,
+      "onlyCategories": null,
+      "skipAudits": null
+    },
+    "environment": {
+      "networkUserAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/153.0.0.0 Safari/537.36",
+      "hostUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) HeadlessChrome/153.0.8010.12 Safari/537.36",
+      "benchmarkIndex": 5277.5,
+      "credits": {
+        "axe-core": "4.13.0"
+      }
+    },
+    "note": "Local prototype only. No customer-site acceptance or field-data claim."
+  },
+  {
+    "path": "/projekte",
+    "profile": "mobile",
+    "scores": {
+      "performance": 1,
+      "accessibility": 1,
+      "best-practices": 1,
+      "seo": 1,
+      "agentic-browsing": 1
+    },
+    "lighthouseVersion": "13.4.1",
+    "settings": {
+      "output": "json",
+      "maxWaitForFcp": 30000,
+      "maxWaitForLoad": 45000,
+      "pauseAfterFcpMs": 1000,
+      "pauseAfterLoadMs": 1000,
+      "networkQuietThresholdMs": 1000,
+      "cpuQuietThresholdMs": 1000,
+      "formFactor": "mobile",
+      "throttling": {
+        "rttMs": 150,
+        "throughputKbps": 1638.4,
+        "requestLatencyMs": 562.5,
+        "downloadThroughputKbps": 1474.5600000000002,
+        "uploadThroughputKbps": 675,
+        "cpuSlowdownMultiplier": 4
+      },
+      "throttlingMethod": "simulate",
+      "screenEmulation": {
+        "mobile": true,
+        "width": 412,
+        "height": 823,
+        "deviceScaleFactor": 1.75,
+        "disabled": false
+      },
+      "emulatedUserAgent": "Mozilla/5.0 (Linux; Android 11; moto g power (2022)) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Mobile Safari/537.36",
+      "auditMode": false,
+      "gatherMode": false,
+      "clearStorageTypes": [
+        "file_systems",
+        "shader_cache",
+        "service_workers",
+        "cache_storage"
+      ],
+      "disableStorageReset": false,
+      "debugNavigation": false,
+      "channel": "node",
+      "usePassiveGathering": false,
+      "disableFullPageScreenshot": false,
+      "skipAboutBlank": false,
+      "blankPage": "about:blank",
+      "ignoreStatusCode": false,
+      "locale": "en-US",
+      "blockedUrlPatterns": null,
+      "additionalTraceCategories": null,
+      "extraHeaders": null,
+      "precomputedLanternData": null,
+      "onlyAudits": null,
+      "onlyCategories": null,
+      "skipAudits": null
+    },
+    "environment": {
+      "networkUserAgent": "Mozilla/5.0 (Linux; Android 11; moto g power (2022)) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/153.0.0.0 Mobile Safari/537.36",
+      "hostUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) HeadlessChrome/153.0.8010.12 Safari/537.36",
+      "benchmarkIndex": 5231,
+      "credits": {
+        "axe-core": "4.13.0"
+      }
+    },
+    "note": "Local prototype only. No customer-site acceptance or field-data claim."
+  },
+  {
+    "path": "/projekte",
+    "profile": "desktop",
+    "scores": {
+      "performance": 1,
+      "accessibility": 1,
+      "best-practices": 1,
+      "seo": 1,
+      "agentic-browsing": 1
+    },
+    "lighthouseVersion": "13.4.1",
+    "settings": {
+      "output": "json",
+      "maxWaitForFcp": 30000,
+      "maxWaitForLoad": 45000,
+      "pauseAfterFcpMs": 1000,
+      "pauseAfterLoadMs": 1000,
+      "networkQuietThresholdMs": 1000,
+      "cpuQuietThresholdMs": 1000,
+      "formFactor": "desktop",
+      "throttling": {
+        "rttMs": 40,
+        "throughputKbps": 10240,
+        "requestLatencyMs": 0,
+        "downloadThroughputKbps": 0,
+        "uploadThroughputKbps": 0,
+        "cpuSlowdownMultiplier": 1
+      },
+      "throttlingMethod": "simulate",
+      "screenEmulation": {
+        "mobile": false,
+        "width": 1350,
+        "height": 940,
+        "deviceScaleFactor": 1,
+        "disabled": false
+      },
+      "emulatedUserAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Safari/537.36",
+      "auditMode": false,
+      "gatherMode": false,
+      "clearStorageTypes": [
+        "file_systems",
+        "shader_cache",
+        "service_workers",
+        "cache_storage"
+      ],
+      "disableStorageReset": false,
+      "debugNavigation": false,
+      "channel": "node",
+      "usePassiveGathering": false,
+      "disableFullPageScreenshot": false,
+      "skipAboutBlank": false,
+      "blankPage": "about:blank",
+      "ignoreStatusCode": false,
+      "locale": "en-US",
+      "blockedUrlPatterns": null,
+      "additionalTraceCategories": null,
+      "extraHeaders": null,
+      "precomputedLanternData": null,
+      "onlyAudits": null,
+      "onlyCategories": null,
+      "skipAudits": null
+    },
+    "environment": {
+      "networkUserAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/153.0.0.0 Safari/537.36",
+      "hostUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) HeadlessChrome/153.0.8010.12 Safari/537.36",
+      "benchmarkIndex": 5272.5,
+      "credits": {
+        "axe-core": "4.13.0"
+      }
+    },
+    "note": "Local prototype only. No customer-site acceptance or field-data claim."
+  },
+  {
+    "path": "/impressum",
+    "profile": "mobile",
+    "scores": {
+      "performance": 1,
+      "accessibility": 1,
+      "best-practices": 1,
+      "seo": 1,
+      "agentic-browsing": 1
+    },
+    "lighthouseVersion": "13.4.1",
+    "settings": {
+      "output": "json",
+      "maxWaitForFcp": 30000,
+      "maxWaitForLoad": 45000,
+      "pauseAfterFcpMs": 1000,
+      "pauseAfterLoadMs": 1000,
+      "networkQuietThresholdMs": 1000,
+      "cpuQuietThresholdMs": 1000,
+      "formFactor": "mobile",
+      "throttling": {
+        "rttMs": 150,
+        "throughputKbps": 1638.4,
+        "requestLatencyMs": 562.5,
+        "downloadThroughputKbps": 1474.5600000000002,
+        "uploadThroughputKbps": 675,
+        "cpuSlowdownMultiplier": 4
+      },
+      "throttlingMethod": "simulate",
+      "screenEmulation": {
+        "mobile": true,
+        "width": 412,
+        "height": 823,
+        "deviceScaleFactor": 1.75,
+        "disabled": false
+      },
+      "emulatedUserAgent": "Mozilla/5.0 (Linux; Android 11; moto g power (2022)) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Mobile Safari/537.36",
+      "auditMode": false,
+      "gatherMode": false,
+      "clearStorageTypes": [
+        "file_systems",
+        "shader_cache",
+        "service_workers",
+        "cache_storage"
+      ],
+      "disableStorageReset": false,
+      "debugNavigation": false,
+      "channel": "node",
+      "usePassiveGathering": false,
+      "disableFullPageScreenshot": false,
+      "skipAboutBlank": false,
+      "blankPage": "about:blank",
+      "ignoreStatusCode": false,
+      "locale": "en-US",
+      "blockedUrlPatterns": null,
+      "additionalTraceCategories": null,
+      "extraHeaders": null,
+      "precomputedLanternData": null,
+      "onlyAudits": null,
+      "onlyCategories": null,
+      "skipAudits": null
+    },
+    "environment": {
+      "networkUserAgent": "Mozilla/5.0 (Linux; Android 11; moto g power (2022)) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/153.0.0.0 Mobile Safari/537.36",
+      "hostUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) HeadlessChrome/153.0.8010.12 Safari/537.36",
+      "benchmarkIndex": 5205,
+      "credits": {
+        "axe-core": "4.13.0"
+      }
+    },
+    "note": "Local prototype only. No customer-site acceptance or field-data claim."
+  },
+  {
+    "path": "/impressum",
+    "profile": "desktop",
+    "scores": {
+      "performance": 1,
+      "accessibility": 1,
+      "best-practices": 1,
+      "seo": 1,
+      "agentic-browsing": 1
+    },
+    "lighthouseVersion": "13.4.1",
+    "settings": {
+      "output": "json",
+      "maxWaitForFcp": 30000,
+      "maxWaitForLoad": 45000,
+      "pauseAfterFcpMs": 1000,
+      "pauseAfterLoadMs": 1000,
+      "networkQuietThresholdMs": 1000,
+      "cpuQuietThresholdMs": 1000,
+      "formFactor": "desktop",
+      "throttling": {
+        "rttMs": 40,
+        "throughputKbps": 10240,
+        "requestLatencyMs": 0,
+        "downloadThroughputKbps": 0,
+        "uploadThroughputKbps": 0,
+        "cpuSlowdownMultiplier": 1
+      },
+      "throttlingMethod": "simulate",
+      "screenEmulation": {
+        "mobile": false,
+        "width": 1350,
+        "height": 940,
+        "deviceScaleFactor": 1,
+        "disabled": false
+      },
+      "emulatedUserAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Safari/537.36",
+      "auditMode": false,
+      "gatherMode": false,
+      "clearStorageTypes": [
+        "file_systems",
+        "shader_cache",
+        "service_workers",
+        "cache_storage"
+      ],
+      "disableStorageReset": false,
+      "debugNavigation": false,
+      "channel": "node",
+      "usePassiveGathering": false,
+      "disableFullPageScreenshot": false,
+      "skipAboutBlank": false,
+      "blankPage": "about:blank",
+      "ignoreStatusCode": false,
+      "locale": "en-US",
+      "blockedUrlPatterns": null,
+      "additionalTraceCategories": null,
+      "extraHeaders": null,
+      "precomputedLanternData": null,
+      "onlyAudits": null,
+      "onlyCategories": null,
+      "skipAudits": null
+    },
+    "environment": {
+      "networkUserAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/153.0.0.0 Safari/537.36",
+      "hostUserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) HeadlessChrome/153.0.8010.12 Safari/537.36",
+      "benchmarkIndex": 5179.5,
+      "credits": {
+        "axe-core": "4.13.0"
+      }
+    },
+    "note": "Local prototype only. No customer-site acceptance or field-data claim."
+  }
+]

public/assets/admin.css

@@ -144,7 +144,7 @@ label { display: block; margin: 18px 0 7px; font-size: 13px; font-weight: 600 }
 .nav-item:hover { background: #21362d }
 .nav-item[aria-current=page] { background: #2b4a3b; color: #fff; font-weight: 650 }
 .nav-item[aria-current=page] .nav-icon { color: var(--mint) }
-.nav-icon { width: 19px; text-align: center; font-size: 14px; color: var(--shell-muted); flex-shrink: 0 }
+.nav-icon { width: 18px; height: 18px; color: var(--shell-muted); flex-shrink: 0 }
 .nav-out::after { content: '↗'; margin-left: auto; color: var(--shell-muted); font-size: 11px }
 
 .shell-foot { margin-top: auto; padding-top: 20px; border-top: 1px solid #2a3d35; display: grid; gap: 6px }
@@ -654,3 +654,37 @@ details.card > summary:hover { background: #fafbf8 }
 .favicon-field{display:flex;align-items:center;gap:12px}
 .favicon-field select{flex:1}
 .favicon-preview{border-radius:6px;background:#fff;box-shadow:0 0 0 1px rgba(0,0,0,.12)}
+
+.color-field { display: flex; gap: 8px; align-items: center }
+.color-field input[type="text"], .color-field > input:not([type="color"]) { flex: 1; min-width: 0 }
+.color-field-swatch { width: 46px; min-height: 38px; padding: 2px; flex: 0 0 auto; cursor: pointer }
+.color-field-palette { flex: 0 0 auto; max-width: 40% }
+/* Die Verwaltung auf dem Telefon.
+
+   Bis 1000px stand die Navigation als waagerechte Wischleiste da - zwei Listen untereinander,
+   also zwei Zeilen, und der letzte Eintrag ausserhalb des Bildes. Auf einem Telefon ist ein
+   Klappmenue ehrlicher: eine Zeile im Ruhezustand, aufgeklappt die vollstaendige Liste mit
+   Flaechen, die ein Daumen trifft. Das details-Element macht das ohne Skript. */
+.shell-menu > summary { display: none }
+@media (max-width: 760px) {
+    .shell-nav { flex-wrap: wrap; padding: 10px 14px; gap: 10px; overflow: visible }
+    .shell-menu { flex: 1 1 100%; order: 3 }
+    .shell-menu > summary {
+        display: flex; align-items: center; gap: 10px; list-style: none; cursor: pointer;
+        min-height: 44px; padding: 0 14px; border-radius: 10px;
+        background: #ffffff14; color: #fff; font-weight: 600; font-size: 15px;
+    }
+    .shell-menu > summary::-webkit-details-marker { display: none }
+    .shell-menu > summary:focus-visible { outline: 3px solid var(--mint); outline-offset: 2px }
+    .shell-menu-icon { font-size: 17px }
+    .shell-menu[open] > summary { margin-bottom: 8px }
+    .shell-menu nav { display: block }
+    .shell-menu:not([open]) nav { display: none }
+    .nav-label { display: block; margin: 12px 4px 6px; font-size: 11px; letter-spacing: 1.4px; color: #9db3a8 }
+    .nav-list { display: grid; gap: 2px }
+    /* Vierundvierzig Pixel: die Flaeche, die ein Daumen zuverlaessig trifft. */
+    .nav-item { min-height: 44px; display: flex; align-items: center; gap: 12px; padding: 10px 14px; white-space: normal }
+    .shell-foot { margin-left: auto; border-left: 0; padding-left: 0; gap: 10px }
+    .shell-version { display: none }
+    .shell-user strong { display: none }
+}

public/assets/color-field.js

@@ -0,0 +1,74 @@
+/*
+ * Farbfelder in den Verwaltungsformularen.
+ *
+ * Eine Farbe tippt man nicht, man wählt sie. Im Editor gibt es dafür längst ein Bedienelement aus
+ * Farbwähler, Textfeld und Palettenliste - in den Formularen unter „Design" und „Einstellungen"
+ * stand bisher nur ein nacktes Textfeld.
+ *
+ * Das Textfeld bleibt die Wahrheit: Es nimmt einen Wert wie `#1a2b3c` **oder** einen Schlüssel aus
+ * der Palette (`@accent`), und das kann ein Farbwähler nicht. Deshalb wird es nicht ersetzt,
+ * sondern ergänzt. Ohne JavaScript bleibt das Feld genau das, was es vorher war.
+ */
+(() => {
+    const felder = [...document.querySelectorAll('input[data-color]')];
+    if (0 === felder.length) {
+        return;
+    }
+
+    for (const feld of felder) {
+        const palette = JSON.parse(feld.dataset.palette || '[]');
+        const reihe = document.createElement('div');
+        reihe.className = 'color-field';
+        feld.parentNode.insertBefore(reihe, feld);
+
+        const waehler = document.createElement('input');
+        waehler.type = 'color';
+        waehler.className = 'color-field-swatch';
+        waehler.setAttribute('aria-label', 'Farbwähler für ' + (feld.labels?.[0]?.textContent.trim() || 'diese Farbe'));
+        // Der Wähler kennt nur Hexwerte. Steht im Feld ein Palettenschlüssel, zeigt er die Farbe,
+        // für die der Schlüssel steht - sonst bliebe er auf Schwarz stehen und sähe falsch aus.
+        const alsHex = wert => {
+            if (/^#[0-9a-f]{6}$/i.test(wert)) {
+                return wert;
+            }
+            const treffer = palette.find(eintrag => '@' + eintrag.key === wert);
+
+            return treffer ? treffer.value : '#000000';
+        };
+        waehler.value = alsHex(feld.value || feld.placeholder || '#000000');
+        waehler.addEventListener('input', () => {
+            feld.value = waehler.value;
+            feld.dispatchEvent(new Event('input', { bubbles: true }));
+        });
+
+        reihe.append(waehler, feld);
+
+        if (palette.length > 0) {
+            const auswahl = document.createElement('select');
+            auswahl.className = 'color-field-palette';
+            auswahl.setAttribute('aria-label', 'Farbe aus der Palette');
+            auswahl.append(new Option('Aus der Palette …', ''));
+            for (const eintrag of palette) {
+                auswahl.append(new Option(`${eintrag.name} (${eintrag.value})`, '@' + eintrag.key));
+            }
+            auswahl.value = palette.some(eintrag => '@' + eintrag.key === feld.value) ? feld.value : '';
+            auswahl.addEventListener('change', () => {
+                if ('' === auswahl.value) {
+                    return;
+                }
+                feld.value = auswahl.value;
+                waehler.value = alsHex(auswahl.value);
+                feld.dispatchEvent(new Event('input', { bubbles: true }));
+            });
+            reihe.append(auswahl);
+        }
+
+        // Tippt jemand von Hand, folgt der Wähler mit - solange der Wert einer ist, den er kennt.
+        feld.addEventListener('input', () => {
+            const hex = alsHex(feld.value);
+            if (waehler.value !== hex) {
+                waehler.value = hex;
+            }
+        });
+    }
+})();

src/Content/MediaLibrary.php

@@ -14,6 +14,13 @@ final class MediaLibrary
     /** The widths every upload is rendered to, in WebP. A source narrower than a step is skipped. */
     public const WIDTHS = [480, 960, 1600, 2400];
 
+    /**
+     * Die Bilder, die in dieser Anfrage schon gesucht wurden.
+     *
+     * @var array<string, ?array>
+     */
+    private array $gemerkt = [];
+
     public function __construct(private Connection $db, private string $directory)
     {
     }
@@ -53,11 +60,22 @@ final class MediaLibrary
         ];
     }
 
+    /**
+     * Ein Bild, gemerkt fuer die Dauer dieser Anfrage.
+     *
+     * Dasselbe Bild wird waehrend einer Seitenausgabe mehrfach gesucht: Ein Hintergrundbild
+     * bekommt je Geraet eine Regel, also dreimal dieselbe Abfrage, und der Kopf fragt dasselbe
+     * Bild noch einmal, um es vorab zu holen. Gemerkt wird nur innerhalb einer Anfrage - der
+     * Dienst lebt nicht laenger, also kann der Merkzettel nicht veralten.
+     */
     public function find(string $id): ?array
     {
+        if (array_key_exists($id, $this->gemerkt)) {
+            return $this->gemerkt[$id];
+        }
         $row = $this->db->fetchAssociative('SELECT * FROM media WHERE id = ?', [$id]);
 
-        return $row ? $this->present($row) : null;
+        return $this->gemerkt[$id] = $row ? $this->present($row) : null;
     }
 
     /**
@@ -163,6 +181,7 @@ final class MediaLibrary
             $title = mb_strcut(preg_replace('/[\x00-\x1F\x7F]/u', '', $name) ?: 'Bild', 0, 160, 'UTF-8');
             $row = ['id' => $id, 'title' => $title, 'alt' => '', 'variants' => json_encode($variants, JSON_THROW_ON_ERROR), 'archived' => 0, 'version' => 1, 'created_at' => gmdate('Y-m-d H:i:s')];
             $this->db->insert('media', $row);
+            $this->gemerkt = [];
 
             return $this->present($row);
         } catch (\Throwable $error) {
@@ -183,6 +202,7 @@ final class MediaLibrary
             throw new \InvalidArgumentException('Titel (max. 160 Bytes), Alternativtext (max. 300 Bytes) und Version prüfen.');
         }
         $count = $this->db->executeStatement('UPDATE media SET title = ?, alt = ?, archived = ?, version = version + 1 WHERE id = ? AND version = ?', [$data['title'], $data['alt'], (int) $data['archived'], $id, $data['version']]);
+        unset($this->gemerkt[$id]);
         if (1 !== $count) {
             throw new StaleWrite();
         }

src/Content/StyleCompiler.php

@@ -16,6 +16,18 @@ final class StyleCompiler
 {
     private const BREAKPOINTS = ['tablet' => 1024, 'mobile' => 767];
 
+    /**
+     * Dieselben Grenzen, als Medienabfragen fuer einen Verweis im Seitenkopf.
+     *
+     * Genau eine trifft zu, und sie trifft dieselbe Variante wie die Regel weiter unten - sonst
+     * holte ein Vorabverweis ein zweites Bild.
+     */
+    public const PRELOAD_DEVICES = [
+        'desktop' => '(min-width:1025px)',
+        'tablet' => '(min-width:768px) and (max-width:1024px)',
+        'mobile' => '(max-width:767px)',
+    ];
+
     public function __construct(private ?MediaLibrary $media = null)
     {
     }
@@ -226,7 +238,7 @@ final class StyleCompiler
             if (null !== $item && [] !== $item['variants']) {
                 // A phone should not download the 2400 pixel variant of a background. CSS has no
                 // srcset, but the rules are already written per device, so the device decides.
-                $largest = $this->variantFor($item['variants'], $device);
+                $largest = self::variantFor($item['variants'], $device);
                 // The URL comes from the media library, never from the document.
                 $layers[] = sprintf('url("%s")', $largest['src']);
             }
@@ -356,7 +368,17 @@ final class StyleCompiler
         return $style;
     }
 
-    private function variantFor(array $variants, string $device): array
+    /**
+     * Die Variante, die ein Hintergrundbild auf diesem Geraet bekommt.
+     *
+     * Oeffentlich und statisch, weil der Seitenkopf dieselbe Wahl treffen muss, wenn er das Bild
+     * vorab holt. Zwei Stellen mit derselben Regel waeren zwei Stellen, die auseinanderlaufen.
+     *
+     * @param list<array{src: string, width: int}> $variants
+     *
+     * @return array{src: string, width: int}
+     */
+    public static function variantFor(array $variants, string $device): array
     {
         $wanted = ['mobile' => 960, 'tablet' => 1600, 'desktop' => 4000][$device] ?? 4000;
         $chosen = $variants[0];

src/Controller/PageController.php

@@ -106,6 +106,9 @@ final class PageController extends AbstractController
                 // im ersten Abschnitt des Inhalts: ein Bild weiter unten waere die falsche
                 // Eile, und das Logo im Kopfbereich ist klein und laedt ohnehin sofort.
                 'eagerImage' => $this->firstImage(['blocks' => array_slice($page['document']['blocks'] ?? [], 0, 1)]),
+                // Und das Gegenstueck fuer den haeufigeren Fall: Das grosse Bild ueber der Falz
+                // ist gar kein Bild, sondern der Hintergrund des ersten Abschnitts.
+                'heroBackground' => $this->heroBackground($areas['header'] ?? null, $page['document']),
                 'pageStyles' => $styles,
                 'googleFonts' => $googleFonts,
                 'localFonts' => $localFonts,
@@ -539,6 +542,49 @@ final class PageController extends AbstractController
      * That one must not be lazy: it is usually the largest thing above the fold, and deferring it
      * delays exactly the pixel a visitor waits for. Everything below it stays lazy.
      */
+    /**
+     * Das Hintergrundbild des ersten Abschnitts, um es vorab zu holen.
+     *
+     * Gemessen an der Startseite des Piloten: Das groesste Element ueber der Falz ist dort kein
+     * `<img>`, sondern der Hintergrund des Heros. Ein Hintergrundbild steht im Stylesheet, und
+     * das kommt nach dem HTML - der Browser erfaehrt also erst vom Bild, wenn er das CSS geparst
+     * hat. Lighthouse nennt das „LCP request discovery"; gemessen 1,3 s statt 0,9 s.
+     *
+     * Vorab geholt wird **genau die Variante, die das Stylesheet auch nimmt**: drei Verweise mit
+     * denselben Grenzen wie der Compiler, nicht ein `imagesrcset`. Ein `srcset` waehlt nach
+     * Breite, die Regeln waehlen nach Geraet; wo beide auseinanderlaufen, laedt der Browser zwei
+     * Bilder statt einem - und dann kostet das Vorabholen mehr, als es bringt.
+     *
+     * @return list<array{src: string, media: string}>
+     */
+    private function heroBackground(?array $header, array $document): array
+    {
+        // Steht ueber dem Inhalt ein Kopfbereich mit eigenem Hintergrundbild, ist dessen Bild das
+        // obere. Sonst der erste Abschnitt des Dokuments.
+        foreach ([$header, $document] as $kandidat) {
+            $block = ($kandidat['blocks'] ?? [])[0] ?? null;
+            $id = $block['style']['desktop']['backgroundImage'] ?? null;
+            if (!is_string($id) || '' === $id) {
+                continue;
+            }
+            $item = $this->media->find($id);
+            if (null === $item || [] === ($item['variants'] ?? [])) {
+                continue;
+            }
+            $verweise = [];
+            foreach (StyleCompiler::PRELOAD_DEVICES as $device => $media) {
+                $verweise[] = [
+                    'src' => StyleCompiler::variantFor($item['variants'], $device)['src'],
+                    'media' => $media,
+                ];
+            }
+
+            return $verweise;
+        }
+
+        return [];
+    }
+
     private function firstImage(array ...$documents): ?string
     {
         foreach ($documents as $document) {

src/Controller/SettingsController.php

@@ -8,6 +8,7 @@ use App\Content\MediaLibrary;
 use App\Content\PageRepository;
 use App\Content\RedirectRepository;
 use App\Content\SiteSettings;
+use App\Content\Theme;
 use App\Domain\InvalidPage;
 use Symfony\Bundle\FrameworkBundle\Controller\AbstractController;
 use Symfony\Component\HttpFoundation\Request;
@@ -16,7 +17,7 @@ use Symfony\Component\Routing\Attribute\Route;
 
 final class SettingsController extends AbstractController
 {
-    public function __construct(private SiteSettings $settings, private RedirectRepository $redirects, private PageRepository $pages, private MediaLibrary $media)
+    public function __construct(private SiteSettings $settings, private RedirectRepository $redirects, private PageRepository $pages, private MediaLibrary $media, private Theme $theme)
     {
     }
 
@@ -41,6 +42,8 @@ final class SettingsController extends AbstractController
             'consentGroupHelp' => Consent::GROUP_HELP,
             // Für das Symbol der Website: die Mediathek zur Auswahl, die neuesten zuerst.
             'images' => $this->media->page(1, false, 96)['items'],
+            // Fuer die Farbfelder: dieselbe Palette, die auch der Editor anbietet.
+            'palette' => $this->theme->load()['colors'],
         ]);
     }
 

src/Controller/SystemController.php

@@ -3,7 +3,9 @@
 namespace App\Controller;
 
 use App\Domain\InvalidPage;
+use App\Ops\ArchiveUpdate;
 use App\Ops\Backup;
+use App\Ops\Installation;
 use App\Ops\Updater;
 use Symfony\Bundle\FrameworkBundle\Controller\AbstractController;
 use Symfony\Component\HttpFoundation\Request;
@@ -19,7 +21,7 @@ use Symfony\Component\Routing\Attribute\Route;
  */
 final class SystemController extends AbstractController
 {
-    public function __construct(private Updater $updater, private Backup $backup, private string $adminPath)
+    public function __construct(private Updater $updater, private Backup $backup, private ArchiveUpdate $archive, private Installation $installation, private string $adminPath)
     {
     }
 
@@ -39,9 +41,92 @@ final class SystemController extends AbstractController
             'steps' => $request->getSession()->remove('update_steps') ?: [],
             'backups' => $this->backup->all(),
             'adminPath' => $this->adminPath,
+            // Der Weg ohne Git: das Releasearchiv. Auf geteiltem Hosting ist das der einzige.
+            'archiveVersion' => $request->query->getBoolean('pruefen') ? $this->archive->updateAvailable() : null,
+            'archivePending' => $this->archive->pending(),
+            // Wer die Dateien von Hand hochgeladen hat - über FTP, ohne Git und ohne das
+            // Releasearchiv -, hat danach neuen Code und eine alte Datenbank. Dieser Bildschirm
+            // ist die einzige Stelle, an der das jemand merken kann.
+            'pendingMigrations' => $this->pendingMigrations(),
         ]);
     }
 
+    /**
+     * Update über das Releasearchiv - für Installationen, die kein Git kennen.
+     *
+     * Zwei Schritte, und zwar mit Absicht: Der erste ersetzt die Dateien, der zweite führt die
+     * Migrationen aus. Dazwischen liegt eine neue Anfrage, denn erst die startet mit dem Code der
+     * neuen Fassung; ein Prozess, der sich selbst ausgetauscht hat, arbeitet mit dem alten weiter.
+     */
+    /**
+     * Ausstehende Migrationen ausführen - ohne Git, ohne Archiv, ohne Konsole.
+     *
+     * Der Weg für ein Update, das von Hand eingespielt wurde: Dateien liegen neu, die Datenbank
+     * ist alt. Ohne diesen Knopf bräuchte es eine Konsole, und genau die gibt es auf geteiltem
+     * Hosting nicht.
+     */
+    #[Route('/%kant.admin_path%/system/migrationen', name: 'admin_system_migrate', methods: ['POST'])]
+    public function migrate(Request $request): Response
+    {
+        $this->denyAccessUnlessGranted('ROLE_ADMIN');
+        if (!$this->isCsrfTokenValid('system', $request->request->getString('_csrf_token'))) {
+            return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
+        }
+        @set_time_limit(0);
+
+        try {
+            $namen = $this->installation->migrate();
+            $this->addFlash('success', [] === $namen
+                ? 'Es stand keine Migration an - die Datenbank war bereits auf dem Stand des Codes.'
+                : sprintf('%d Migration(en) ausgeführt: %s.', count($namen), implode(', ', $namen)));
+        } catch (\Throwable $fehler) {
+            $this->addFlash('error', 'Die Migration ist fehlgeschlagen: '.$fehler->getMessage());
+        }
+
+        return $this->redirectToRoute('admin_system');
+    }
+
+    /** Das Lesen der Liste darf nie der Grund sein, dass dieser Bildschirm nicht erscheint. */
+    private function pendingMigrations(): array
+    {
+        try {
+            return $this->installation->pendingMigrations();
+        } catch (\Throwable) {
+            return [];
+        }
+    }
+
+    #[Route('/%kant.admin_path%/system/archiv', name: 'admin_system_archive', methods: ['POST'])]
+    public function archive(Request $request): Response
+    {
+        $this->denyAccessUnlessGranted('ROLE_ADMIN');
+        if (!$this->isCsrfTokenValid('system', $request->request->getString('_csrf_token'))) {
+            return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
+        }
+        @set_time_limit(0);
+        if ($request->request->getBoolean('finish')) {
+            $ergebnis = $this->archive->finish($this->installation);
+            $request->getSession()->set('update_steps', $ergebnis['steps']);
+            $this->addFlash($ergebnis['ok'] ? 'success' : 'error', $ergebnis['ok']
+                ? 'Das Update ist fertig. Die Website ist wieder erreichbar.'
+                : 'Die Migrationen sind fehlgeschlagen. Die Website bleibt im Wartungszustand.');
+
+            return $this->redirectToRoute('admin_system');
+        }
+        $ergebnis = $this->archive->run($request->request->getString('target') ?: null);
+        $request->getSession()->set('update_steps', $ergebnis['steps']);
+        if ($ergebnis['migrate'] ?? false) {
+            $this->addFlash('success', 'Die Dateien sind ersetzt. Jetzt noch die Migrationen - der Knopf steht oben.');
+
+            return $this->redirectToRoute('admin_system');
+        }
+        $this->addFlash($ergebnis['ok'] ? 'success' : 'error', $ergebnis['ok']
+            ? 'Es war nichts einzuspielen.'
+            : 'Das Update ist nicht durchgelaufen. Die Schritte stehen unten.');
+
+        return $this->redirectToRoute('admin_system');
+    }
+
     #[Route('/%kant.admin_path%/system/update', name: 'admin_system_update', methods: ['POST'])]
     public function update(Request $request): Response
     {
@@ -82,6 +167,12 @@ final class SystemController extends AbstractController
             $result = $this->backup->create('Verwaltung');
         } catch (InvalidPage $error) {
             return $this->back($error->getMessage());
+        } catch (\Throwable $error) {
+            // Alles andere ist kein erwarteter Fall, sondern einer, den dieses Hosting mitbringt -
+            // eine alte SQLite-Fassung, ein fehlendes Schreibrecht, ein voller Datentraeger. Eine
+            // 500-Seite laesst den Betreiber damit allein; der Satz hier sagt wenigstens, woran es
+            // lag.
+            return $this->back('Die Sicherung ist fehlgeschlagen: '.$error->getMessage());
         }
         $removed = $this->backup->rotate();
 

src/Ops/ArchiveUpdate.php

@@ -0,0 +1,359 @@
+<?php
+
+namespace App\Ops;
+
+/**
+ * Ein Update für Installationen ohne Git.
+ *
+ * Der Updater über Git setzt eine Arbeitskopie voraus. Auf geteiltem Hosting gibt es die nicht:
+ * dort wird über das Releasearchiv installiert, und danach steht in der Verwaltung „Dieses
+ * Verzeichnis ist keine Git-Arbeitskopie" - also kein Update, außer von Hand über FTP. Das ist
+ * genau der Fall, für den dieses CMS gedacht ist.
+ *
+ * Hier läuft derselbe Weg wie bei der Erstinstallation: Archiv laden, Prüfsumme vergleichen,
+ * entpacken, Dateien ersetzen, Migrationen ausführen. Mit drei Unterschieden, die ein Update von
+ * einer Installation trennen:
+ *
+ * 1. **Was dem Betreiber gehört, wird nicht angefasst.** `var/`, `.env`, `.env.local`, die
+ *    hochgeladenen Schriften und das erzeugte Stylesheet-Bündel bleiben, wie sie sind.
+ * 2. **Der alte Stand wird beiseitegelegt, nicht gelöscht.** Geht etwas schief, steht er unter
+ *    `var/update/` und lässt sich zurückschieben.
+ * 3. **Die Website ist währenddessen im Wartungszustand** - eine halb ersetzte Anwendung darf
+ *    niemand zu sehen bekommen.
+ */
+final class ArchiveUpdate
+{
+    /** Was aus dem Archiv übernommen wird. Alles andere im Projektstamm bleibt unberührt. */
+    private const ERSETZEN = ['bin', 'config', 'migrations', 'src', 'templates', 'vendor', 'composer.json', 'composer.lock', 'migrations.php', 'cli-config.php', 'VERSION'];
+
+    /** Was innerhalb von public/ dem Betreiber gehört und deshalb stehen bleibt. */
+    private const EIGENES_IN_PUBLIC = ['assets/fonts', 'assets/build'];
+
+    /**
+     * Die Marke zwischen den beiden Schritten.
+     *
+     * Sie liegt auf der Platte und nicht in der Sitzung: Fällt die Sitzung zwischen „Dateien
+     * ersetzt" und „Migrationen" aus - Zeitüberschreitung, anderer Browser, anderer Rechner -,
+     * bliebe die Website sonst im Wartungszustand und der Knopf, der sie herausholt, wäre weg.
+     */
+    private const MARKE = 'var/update/offen.json';
+
+    /** Das Protokoll - dieselbe Datei, in die auch der Updater über Git schreibt. */
+    private const PROTOKOLL = 'var/updates.log';
+
+    public function __construct(
+        private string $root,
+        private Updater $updater,
+        private Backup $backup,
+        private Download $download,
+        private string $releaseBase = 'https://git.kant-it.de/kantarci/KantSites/releases/download',
+        private string $apiBase = 'https://git.kant-it.de/api/v1/repos/kantarci/KantSites',
+    ) {
+    }
+
+    /**
+     * Die neueste veröffentlichte Fassung, oder null wenn sie sich nicht ermitteln lässt.
+     *
+     * @return array{version: string, url: string, checksum: ?string}|null
+     */
+    public function latest(): ?array
+    {
+        $antwort = $this->download->get($this->apiBase.'/releases/latest');
+        if (null === $antwort) {
+            return null;
+        }
+
+        try {
+            $daten = json_decode($antwort, true, 16, JSON_THROW_ON_ERROR);
+        } catch (\JsonException) {
+            return null;
+        }
+        $tag = (string) ($daten['tag_name'] ?? '');
+        if (1 !== preg_match('/^v(\d+\.\d+\.\d+)$/D', $tag, $treffer)) {
+            return null;
+        }
+        $version = $treffer[1];
+
+        return [
+            'version' => $version,
+            'url' => sprintf('%s/%s/kantsites-%s.zip', $this->releaseBase, $tag, $version),
+            'checksum' => $this->checksumOf(sprintf('%s/%s/kantsites-%s.zip.sha256', $this->releaseBase, $tag, $version)),
+        ];
+    }
+
+    /** Gibt es etwas Neueres als das, was hier läuft? */
+    public function updateAvailable(): ?string
+    {
+        $neueste = $this->latest();
+
+        return null !== $neueste && version_compare($neueste['version'], $this->updater->version(), '>')
+            ? $neueste['version']
+            : null;
+    }
+
+    /**
+     * Spielt die angegebene (oder die neueste) Fassung ein.
+     *
+     * @return array{ok: bool, steps: list<array{step: string, ok: bool, detail: string}>}
+     */
+    public function run(?string $version = null): array
+    {
+        $schritte = [];
+        // Jeder Schritt geht sofort ins Protokoll, nicht erst am Ende.
+        //
+        // Der Grund steht in ADR 071: Wenn die Seite, die das Ergebnis anzeigt, nicht erscheint -
+        // aus welchem Grund auch immer -, weiß niemand mehr, was passiert ist. Eine Zeile in
+        // einer Datei überlebt das, und auf einem Hosting ohne Konsole ist sie manchmal das
+        // Einzige, was von einem gescheiterten Update übrig bleibt.
+        $melden = function (array &$schritte, string $schritt, bool $ok, string $detail = ''): bool {
+            $schritte[] = ['step' => $schritt, 'ok' => $ok, 'detail' => $detail];
+            $this->protokoll(sprintf('%s %s: %s', $ok ? 'ok    ' : 'FEHLER', $schritt, $detail));
+
+            return $ok;
+        };
+        $this->protokoll(sprintf('--- Update aus dem Archiv, %s UTC', gmdate('Y-m-d H:i:s')));
+
+        $neueste = $this->latest();
+        if (null === $neueste) {
+            $melden($schritte, 'Fassung ermitteln', false, trim('Die Releaseseite antwortet nicht. Ohne sie ist nicht feststellbar, was aktuell ist. '.$this->download->reason()));
+
+            return ['ok' => false, 'steps' => $schritte];
+        }
+        $ziel = $version ?? $neueste['version'];
+        $melden($schritte, 'Fassung ermitteln', true, sprintf('Installiert: %s, verfügbar: %s.', $this->updater->version(), $neueste['version']));
+        if (version_compare($ziel, $this->updater->version(), '<=')) {
+            $melden($schritte, 'Nichts zu tun', true, 'Diese Installation ist bereits auf dem neuesten Stand.');
+
+            return ['ok' => true, 'steps' => $schritte];
+        }
+
+        $arbeit = $this->root.'/var/update/'.gmdate('Ymd-His');
+        if (!@mkdir($arbeit, 0o775, true) && !is_dir($arbeit)) {
+            $melden($schritte, 'Arbeitsordner', false, $arbeit.' ließ sich nicht anlegen. Fehlt das Schreibrecht auf var/?');
+
+            return ['ok' => false, 'steps' => $schritte];
+        }
+
+        // Erst sichern, dann anfassen. Eine Sicherung nach dem Ersetzen wäre keine.
+        try {
+            $sicherung = $this->backup->create('vor dem Update');
+            $melden($schritte, 'Sicherung', true, sprintf('Datenbank und Medien liegen unter var/backups/%s.', (string) ($sicherung['name'] ?? 'sicherung')));
+        } catch (\Throwable $fehler) {
+            $melden($schritte, 'Sicherung', false, 'Die Sicherung ist fehlgeschlagen: '.$fehler->getMessage().' Ohne sie wird nichts ersetzt.');
+
+            return ['ok' => false, 'steps' => $schritte];
+        }
+
+        $archiv = $arbeit.'/kantsites-'.$ziel.'.zip';
+        $inhalt = $this->download->get(sprintf('%s/v%s/kantsites-%s.zip', $this->releaseBase, $ziel, $ziel));
+        if (null === $inhalt || '' === $inhalt) {
+            $melden($schritte, 'Archiv laden', false, trim('Das Archiv ließ sich nicht herunterladen. '.$this->download->reason()));
+
+            return ['ok' => false, 'steps' => $schritte];
+        }
+        file_put_contents($archiv, $inhalt);
+        $melden($schritte, 'Archiv laden', true, sprintf('%d KB geladen.', (int) round(strlen($inhalt) / 1024)));
+
+        $erwartet = $ziel === $neueste['version'] ? $neueste['checksum'] : $this->checksumOf(sprintf('%s/v%s/kantsites-%s.zip.sha256', $this->releaseBase, $ziel, $ziel));
+        if (null === $erwartet) {
+            $melden($schritte, 'Prüfsumme', false, 'Zu diesem Archiv gibt es keine Prüfsumme. Ohne sie wird nichts entpackt.');
+
+            return ['ok' => false, 'steps' => $schritte];
+        }
+        $tatsaechlich = hash_file('sha256', $archiv);
+        if (!hash_equals($erwartet, (string) $tatsaechlich)) {
+            $melden($schritte, 'Prüfsumme', false, 'Die Prüfsumme stimmt nicht. Das Archiv wird nicht verwendet.');
+
+            return ['ok' => false, 'steps' => $schritte];
+        }
+        $melden($schritte, 'Prüfsumme', true, 'Stimmt mit der Angabe auf der Releaseseite überein.');
+
+        $entpackt = $arbeit.'/neu';
+        $zip = new \ZipArchive();
+        if (true !== $zip->open($archiv) || !$zip->extractTo($entpackt)) {
+            $melden($schritte, 'Entpacken', false, 'Das Archiv ließ sich nicht entpacken.');
+
+            return ['ok' => false, 'steps' => $schritte];
+        }
+        $zip->close();
+        $quelle = $entpackt.'/kantsites-'.$ziel;
+        if (!is_file($quelle.'/VERSION') || !is_file($quelle.'/vendor/autoload.php')) {
+            $melden($schritte, 'Entpacken', false, 'Im Archiv fehlen VERSION oder vendor/ - das ist kein vollständiges Release.');
+
+            return ['ok' => false, 'steps' => $schritte];
+        }
+        $melden($schritte, 'Entpacken', true, 'Vollständig: VERSION und vendor/ sind vorhanden.');
+
+        $this->updater->maintenance(true);
+        $melden($schritte, 'Wartungszustand', true, 'Die Website antwortet währenddessen mit 503.');
+
+        $alt = $arbeit.'/alt';
+        @mkdir($alt, 0o775, true);
+        $ersetzt = 0;
+        try {
+            foreach (self::ERSETZEN as $eintrag) {
+                $ziant = $this->root.'/'.$eintrag;
+                if (file_exists($ziant) && !@rename($ziant, $alt.'/'.$eintrag)) {
+                    throw new \RuntimeException($eintrag.' ließ sich nicht beiseitelegen.');
+                }
+                if (file_exists($quelle.'/'.$eintrag) && !@rename($quelle.'/'.$eintrag, $ziant)) {
+                    throw new \RuntimeException($eintrag.' ließ sich nicht ersetzen.');
+                }
+                ++$ersetzt;
+            }
+            // public/ wird Datei für Datei aktualisiert: Schriften und erzeugte Bündel gehören dem
+            // Betreiber und wären sonst weg.
+            $this->mergePublic($quelle.'/public', $this->root.'/public');
+        } catch (\Throwable $fehler) {
+            foreach (self::ERSETZEN as $eintrag) {
+                if (is_dir($alt.'/'.$eintrag) || is_file($alt.'/'.$eintrag)) {
+                    @rename($this->root.'/'.$eintrag, $quelle.'/'.$eintrag);
+                    @rename($alt.'/'.$eintrag, $this->root.'/'.$eintrag);
+                }
+            }
+            $melden($schritte, 'Dateien ersetzen', false, $fehler->getMessage().' Der alte Stand wurde zurückgeschoben.');
+            $this->updater->maintenance(false);
+
+            return ['ok' => false, 'steps' => $schritte];
+        }
+        $melden($schritte, 'Dateien ersetzen', true, sprintf('%d Einträge ersetzt, var/ und .env unberührt.', $ersetzt));
+
+        // Der Zwischenspeicher gehört zum alten Stand.
+        $this->removeDirectory($this->root.'/var/cache');
+        $melden($schritte, 'Zwischenspeicher', true, 'Geleert - sonst liefe die neue Fassung mit den Wegweisern der alten.');
+
+        // Hier endet dieser Durchgang mit Absicht. Der laufende Prozess hat den alten Code im
+        // Speicher - Klassen, die PHP schon geladen hat, laedt es nicht neu. Die Migrationen
+        // gehoeren deshalb in eine eigene Anfrage, die mit der neuen Fassung startet. Der
+        // Wartungszustand bleibt so lange an.
+        @file_put_contents($this->root.'/'.self::MARKE, json_encode([
+            'fassung' => $ziel,
+            'seit' => gmdate('c'),
+            'alt' => basename($arbeit),
+        ], JSON_UNESCAPED_SLASHES));
+        $melden($schritte, 'Dateien sind ersetzt', true, sprintf(
+            'Fassung %s liegt bereit. Jetzt fehlen noch die Migrationen - sie laufen im nächsten Schritt mit dem neuen Code.',
+            $ziel,
+        ));
+
+        return ['ok' => true, 'steps' => $schritte, 'migrate' => true];
+    }
+
+    /**
+     * Steht ein zweiter Schritt aus? Gibt Fassung und Zeitpunkt zurück, sonst null.
+     *
+     * @return array{fassung: string, seit: string, alt: string}|null
+     */
+    public function pending(): ?array
+    {
+        $inhalt = @file_get_contents($this->root.'/'.self::MARKE);
+        if (!is_string($inhalt)) {
+            return null;
+        }
+
+        try {
+            $daten = json_decode($inhalt, true, 8, JSON_THROW_ON_ERROR);
+        } catch (\JsonException) {
+            return null;
+        }
+
+        return is_array($daten) && isset($daten['fassung']) ? $daten : null;
+    }
+
+    /**
+     * Der zweite Schritt: Migrationen ausführen und die Website wieder freigeben.
+     *
+     * Läuft in einer eigenen Anfrage, also mit dem Code der neuen Fassung.
+     *
+     * @return array{ok: bool, steps: list<array{step: string, ok: bool, detail: string}>}
+     */
+    public function finish(Installation $installation): array
+    {
+        $schritte = [];
+        $this->protokoll(sprintf('--- Migrationen nach dem Update, %s UTC', gmdate('Y-m-d H:i:s')));
+        try {
+            $namen = $installation->migrate();
+            $schritte[] = ['step' => 'Migrationen', 'ok' => true, 'detail' => [] === $namen
+                ? 'Es stand keine an - die Datenbank war bereits auf dem Stand der neuen Fassung.'
+                : sprintf('%d ausgeführt: %s.', count($namen), implode(', ', $namen))];
+        } catch (\Throwable $fehler) {
+            $schritte[] = ['step' => 'Migrationen', 'ok' => false, 'detail' => $fehler->getMessage().' Die Website bleibt im Wartungszustand, bis das geklärt ist.'];
+            $this->protokoll('FEHLER Migrationen: '.$fehler->getMessage());
+
+            return ['ok' => false, 'steps' => $schritte];
+        }
+
+        @unlink($this->root.'/'.self::MARKE);
+        $this->updater->maintenance(false);
+        $this->protokoll('ok     Migrationen: '.$schritte[0]['detail']);
+        $schritte[] = ['step' => 'Fertig', 'ok' => true, 'detail' => sprintf(
+            'Fassung %s läuft. Der vorherige Stand liegt unter var/update/, bis du ihn löschst.',
+            $this->updater->version(),
+        )];
+
+        return ['ok' => true, 'steps' => $schritte];
+    }
+
+    /**
+     * Eine Zeile ins Protokoll, und zwar sofort.
+     *
+     * Ohne Ausnahme bei Fehlschlag: Ein Update, das daran scheitert, dass sein Protokoll nicht
+     * schreibbar ist, wäre absurd.
+     */
+    private function protokoll(string $zeile): void
+    {
+        @file_put_contents($this->root.'/'.self::PROTOKOLL, $zeile.PHP_EOL, FILE_APPEND);
+    }
+
+    /** Kopiert das neue public/ über das alte, ohne das zu berühren, was dort entstanden ist. */
+    private function mergePublic(string $von, string $nach): void
+    {
+        if (!is_dir($von)) {
+            return;
+        }
+        foreach (scandir($von) ?: [] as $eintrag) {
+            if ('.' === $eintrag || '..' === $eintrag) {
+                continue;
+            }
+            $quelle = $von.'/'.$eintrag;
+            $ziel = $nach.'/'.$eintrag;
+            $relativ = ltrim(str_replace($this->root.'/public', '', $ziel), '/');
+            if (in_array($relativ, self::EIGENES_IN_PUBLIC, true)) {
+                continue;
+            }
+            if (is_dir($quelle)) {
+                @mkdir($ziel, 0o775, true);
+                $this->mergePublic($quelle, $ziel);
+
+                continue;
+            }
+            @copy($quelle, $ziel);
+        }
+    }
+
+    /** Liest die Prüfsumme aus der Datei neben dem Archiv. */
+    private function checksumOf(string $url): ?string
+    {
+        $inhalt = $this->download->get($url);
+        if (null === $inhalt || 1 !== preg_match('/^([a-f0-9]{64})/', trim($inhalt), $treffer)) {
+            return null;
+        }
+
+        return $treffer[1];
+    }
+
+    private function removeDirectory(string $pfad): void
+    {
+        if (!is_dir($pfad)) {
+            return;
+        }
+        foreach (scandir($pfad) ?: [] as $eintrag) {
+            if ('.' === $eintrag || '..' === $eintrag) {
+                continue;
+            }
+            $voll = $pfad.'/'.$eintrag;
+            is_dir($voll) ? $this->removeDirectory($voll) : @unlink($voll);
+        }
+        @rmdir($pfad);
+    }
+}

src/Ops/Backup.php

@@ -35,6 +35,14 @@ final class Backup
         private string $mediaDirectory,
         private Connection $db,
         private CommandRunner $runner,
+        /**
+         * Ab welcher SQLite-Fassung `VACUUM INTO` benutzt wird.
+         *
+         * Als Parameter und nicht als Konstante, damit der Weg fuer aeltere Fassungen im Test
+         * wirklich laeuft. Ein Ersatzweg, der nur auf fremden Servern ausgefuehrt wird, ist ein
+         * ungeprueftes Versprechen.
+         */
+        private string $vacuumSince = '3.27.0',
     ) {
     }
 
@@ -214,9 +222,19 @@ final class Backup
             throw new InvalidPage('Sicherung über mysqldump ist noch nicht umgesetzt (Arbeitspaket J).');
         }
         $target = $directory.'/'.basename($file);
-        // VACUUM INTO instead of copy(): a copy taken while something writes can be unusable, and
-        // it would not say so until the day it is needed. The path is ours, not user input.
-        $this->db->executeStatement(sprintf("VACUUM INTO '%s'", str_replace("'", "''", str_replace('\\', '/', $target))));
+        // VACUUM INTO statt copy(): Eine Kopie, die waehrend eines Schreibvorgangs entsteht, kann
+        // unbrauchbar sein - und sie sagt das nicht, sondern erst an dem Tag, an dem sie gebraucht
+        // wird. Der Pfad kommt von uns, nicht aus einer Eingabe.
+        //
+        // **Es gibt VACUUM INTO aber erst seit SQLite 3.27.** Auf Umuts Hosting ist die Fassung
+        // aelter: Die Installation lief (dafuer reicht 3.16), die Sicherung endete mit 500. Auf
+        // einer solchen Installation wird stattdessen unter einer Schreibsperre kopiert - das ist
+        // der Weg, den SQLite selbst fuer diesen Fall nennt, und er ist ebenso konsistent.
+        if (version_compare($this->sqliteVersion(), $this->vacuumSince, '>=')) {
+            $this->db->executeStatement(sprintf("VACUUM INTO '%s'", str_replace("'", "''", str_replace('\\', '/', $target))));
+        } else {
+            $this->copyUnderLock($file, $target);
+        }
         if (!is_readable($target)) {
             throw new InvalidPage('Die Datenbank ließ sich nicht sichern.');
         }
@@ -224,6 +242,52 @@ final class Backup
         return ['datei' => basename($file), 'bytes' => (int) filesize($target), 'sha256' => (string) hash_file('sha256', $target)];
     }
 
+    /** Die Fassung von SQLite, oder '0' wenn das keine SQLite-Verbindung ist. */
+    private function sqliteVersion(): string
+    {
+        try {
+            return (string) $this->db->fetchOne('SELECT sqlite_version()');
+        } catch (\Throwable) {
+            return '0';
+        }
+    }
+
+    /**
+     * Eine konsistente Kopie ohne VACUUM INTO.
+     *
+     * `BEGIN IMMEDIATE` haelt jeden anderen Schreibvorgang an, solange kopiert wird; der
+     * Checkpoint davor schreibt zurueck, was noch im Write-Ahead-Log steht, damit die Kopie
+     * vollstaendig ist und nicht die Haelfte der letzten Aenderungen fehlt.
+     *
+     * @throws InvalidPage
+     */
+    private function copyUnderLock(string $file, string $target): void
+    {
+        try {
+            $this->db->executeStatement('PRAGMA wal_checkpoint(TRUNCATE)');
+        } catch (\Throwable) {
+            // Ohne WAL gibt es nichts zurueckzuschreiben - das ist kein Fehler.
+        }
+
+        try {
+            $this->db->executeStatement('BEGIN IMMEDIATE');
+        } catch (\Throwable $fehler) {
+            throw new InvalidPage('Die Datenbank ließ sich fuer die Sicherung nicht sperren: '.$fehler->getMessage());
+        }
+
+        try {
+            if (!@copy($file, $target)) {
+                throw new InvalidPage('Die Datenbankdatei ließ sich nicht kopieren. Schreibrechte auf var/backups pruefen.');
+            }
+        } finally {
+            try {
+                $this->db->executeStatement('COMMIT');
+            } catch (\Throwable) {
+                // Die Sperre faellt spaetestens mit der Verbindung.
+            }
+        }
+    }
+
     /** @return array{count: int, bytes: int} */
     private function copyMedia(string $target): array
     {

src/Ops/Download.php

@@ -0,0 +1,115 @@
+<?php
+
+namespace App\Ops;
+
+/**
+ * Holt eine Datei über HTTPS - über curl, ersatzweise über den Dateizeiger.
+ *
+ * Zwei Wege, weil auf einem Webhosting mal das eine da ist und mal das andere: curl fehlt auf
+ * manchen Paketen, `allow_url_fopen` ist auf anderen abgeschaltet. Dieselbe Doppelung steht im
+ * Installer und beim Laden der Schriften.
+ *
+ * Eine eigene Klasse ist das aus zwei Gründen: Die Prüfung des Zertifikats und die Sperre für
+ * alles außer HTTPS stehen an genau einer Stelle - und der Updater lässt sich prüfen, ohne dass
+ * ein Test ins Netz geht.
+ */
+class Download
+{
+    /**
+     * Die curl-Fehler, die „ich kann das Zertifikat nicht prüfen" heißen.
+     *
+     * Als Zahlen und nicht als Konstanten: `CURLE_PEER_FAILED_VERIFICATION` gibt es nicht in
+     * jedem PHP-Bau, und ein fehlender Konstantenname wäre ein Absturz genau an der Stelle, an
+     * der eigentlich eine hilfreiche Meldung stehen soll.
+     */
+    private const ZERTIFIKATSFEHLER = [51, 60, 77];
+
+    /** Warum der letzte Versuch nichts gebracht hat - in einem Satz, der jemandem weiterhilft. */
+    private string $grund = '';
+
+    public function __construct(
+        private int $connectTimeout = 15,
+        private int $timeout = 900,
+    ) {
+    }
+
+    /**
+     * Der Grund des letzten Fehlschlags.
+     *
+     * Ohne ihn steht in der Verwaltung „die Releaseseite antwortet nicht", und das ist in drei
+     * Fällen dieselbe Meldung: kein Weg nach draußen, kein Zertifikatsspeicher, falsche Adresse.
+     * Der mittlere ist auf einem Webhosting der häufigste und der einzige, den man in einer
+     * Minute behebt - er muss also dastehen.
+     */
+    public function reason(): string
+    {
+        return $this->grund;
+    }
+
+    /** Den Inhalt der Adresse, oder null wenn sie nicht mit 200 antwortet. */
+    public function get(string $url): ?string
+    {
+        $this->grund = '';
+        // Kein http, kein file, kein ftp: ein Update, das über eine unverschlüsselte Verbindung
+        // kommt, kann unterwegs ausgetauscht worden sein.
+        if (!str_starts_with($url, 'https://')) {
+            $this->grund = 'Nur HTTPS-Adressen werden geholt.';
+
+            return null;
+        }
+        if (function_exists('curl_init')) {
+            $curl = curl_init($url);
+            curl_setopt_array($curl, [
+                CURLOPT_RETURNTRANSFER => true,
+                CURLOPT_FOLLOWLOCATION => true,
+                CURLOPT_MAXREDIRS => 3,
+                CURLOPT_SSL_VERIFYPEER => true,
+                CURLOPT_SSL_VERIFYHOST => 2,
+                CURLOPT_CONNECTTIMEOUT => $this->connectTimeout,
+                CURLOPT_TIMEOUT => $this->timeout,
+                CURLOPT_USERAGENT => 'KantSites-Updater',
+            ]);
+            $antwort = curl_exec($curl);
+            $status = curl_getinfo($curl, CURLINFO_RESPONSE_CODE);
+            $fehler = curl_errno($curl);
+            $text = curl_error($curl);
+            curl_close($curl);
+            if (is_string($antwort) && 200 === $status) {
+                return $antwort;
+            }
+            // Ein fehlender Zertifikatsspeicher ist keine kaputte Leitung, sondern eine
+            // Einstellung - und er sieht sonst genauso aus wie eine gesperrte Verbindung.
+            $this->grund = match (true) {
+                in_array($fehler, self::ZERTIFIKATSFEHLER, true) => 'Das Zertifikat der Gegenstelle lässt sich nicht prüfen: Diesem PHP fehlt ein Zertifikatsspeicher (curl.cainfo in der php.ini). Geholt wird trotzdem nur mit Prüfung - ein Update ohne sie könnte unterwegs ausgetauscht worden sein.',
+                0 !== $fehler => 'Die Verbindung kam nicht zustande: '.$text,
+                0 === $status => 'Der Server hat nicht geantwortet.',
+                default => sprintf('Die Adresse antwortet mit %d statt 200.', $status),
+            };
+            // Bei einem Zertifikatsproblem lohnt der zweite Weg: Der Dateizeiger benutzt die
+            // Einstellungen von OpenSSL, und die sind manchmal gesetzt, wo curl nichts findet.
+            if (!in_array($fehler, self::ZERTIFIKATSFEHLER, true)) {
+                return null;
+            }
+        }
+        if (!filter_var(ini_get('allow_url_fopen'), FILTER_VALIDATE_BOOL)) {
+            $this->grund = '' !== $this->grund ? $this->grund : 'Dieser Server darf keine Adressen abrufen: curl fehlt und allow_url_fopen ist abgeschaltet.';
+
+            return null;
+        }
+        $context = stream_context_create([
+            'http' => ['timeout' => $this->timeout, 'follow_location' => 1, 'max_redirects' => 3, 'header' => "User-Agent: KantSites-Updater\r\n"],
+            'ssl' => ['verify_peer' => true, 'verify_peer_name' => true],
+        ]);
+        $antwort = @file_get_contents($url, false, $context);
+        if (is_string($antwort)) {
+            $this->grund = '';
+
+            return $antwort;
+        }
+        if ('' === $this->grund) {
+            $this->grund = 'Die Adresse war über den Dateizeiger nicht erreichbar.';
+        }
+
+        return null;
+    }
+}

src/Ops/Updater.php

@@ -46,14 +46,23 @@ final class Updater
     public function state(): array
     {
         $git = $this->runner->available() && $this->runner->has('git', $this->root);
-        $status = $git ? $this->git(['status', '--porcelain']) : null;
+        // Zwei verschiedene Fragen, und die Verwechslung war ein echter Fehler: Ob der Befehl
+        // `git` existiert, sagt nichts darueber, ob dieses Verzeichnis eine Arbeitskopie ist. Ein
+        // Hosting hat oft beides - git installiert, aber die Installation kam aus dem
+        // Releasearchiv. Dann lief jeder Aufruf ins Leere, und die Verwaltung zeigte dem
+        // Betreiber „fatal: Not a git repository“ an einer Stelle, an der eine Fassungsnummer
+        // stehen sollte.
+        $arbeitskopie = $git && is_dir($this->root.'/.git');
+        $status = $arbeitskopie ? $this->git(['status', '--porcelain']) : null;
 
         return [
             'version' => $this->version(),
-            'commit' => $git ? substr($this->git(['rev-parse', 'HEAD'])['output'], 0, 8) : 'unbekannt',
-            'describe' => $git ? $this->git(['describe', '--tags', '--always'])['output'] : 'unbekannt',
+            'commit' => $arbeitskopie ? substr($this->git(['rev-parse', 'HEAD'])['output'], 0, 8) : 'unbekannt',
+            'describe' => $arbeitskopie ? $this->git(['describe', '--tags', '--always'])['output'] : 'unbekannt',
             'maintenance' => is_file($this->root.'/'.self::MAINTENANCE_FILE),
             'git' => $git,
+            // Der Weg ueber Git steht nur einer Arbeitskopie offen.
+            'worktree' => $arbeitskopie,
             'clean' => null === $status ? null : ('' === $status['output'] && $status['ok']),
             'log' => $this->log(),
         ];

templates/admin/base.html.twig

@@ -7,6 +7,7 @@
     <title>{% block title %}Verwaltung{% endblock %} · KantSites</title>
     {% include 'favicon.html.twig' %}
     <link rel="stylesheet" href="/assets/admin.css?v={{ kant_version() }}">
+    <script src="/assets/color-field.js?v={{ kant_version() }}" defer></script>
 {% block styles %}{% endblock %}
     {% block scripts %}{% endblock %}
 </head>

templates/admin/icon.html.twig

@@ -0,0 +1,20 @@
+{# Die Symbole der Verwaltung, als Inline-SVG.
+
+   Vorher standen hier Unicode-Zeichen (▤ ◫ ☰ ▩ ⚙). Auf dem Schreibtisch sehen sie wie Symbole
+   aus, auf einem Telefon ersetzt das Betriebssystem sie durch Emoji - buntes Zahnrad, buntes
+   Briefsymbol, jedes in einem anderen Stil. Eigene Pfade lösen das endgültig: eine Linienstärke,
+   eine Farbe (currentColor), kein zusätzlicher Request, keine Schriftdatei. #}
+{% set paths = {
+    pages: 'M6 3h8l4 4v14H6Zm8 0v4h4M9 12h6M9 16h6',
+    partials: 'M4 5h16v14H4Zm0 5h16M9 10v9',
+    menus: 'M4 6h16M4 12h16M4 18h10',
+    media: 'M4 5h16v14H4Zm0 10 4-4 4 4 3-3 5 5M8.5 9.5a1 1 0 1 0 0-2 1 1 0 0 0 0 2Z',
+    forms: 'M3 6h18v12H3Zm0 1 9 7 9-7',
+    statistics: 'M4 20h16M7 20v-6m5 6V6m5 14v-9',
+    theme: 'M12 3a9 9 0 1 0 0 18Zm0 0a9 9 0 0 1 0 18',
+    settings: 'M12 15a3 3 0 1 0 0-6 3 3 0 0 0 0 6Zm8-3a8 8 0 0 0-.2-1.7l2-1.5-2-3.5-2.3 1a8 8 0 0 0-3-1.7L14 2h-4l-.5 2.6a8 8 0 0 0-3 1.7l-2.3-1-2 3.5 2 1.5a8 8 0 0 0 0 3.4l-2 1.5 2 3.5 2.3-1a8 8 0 0 0 3 1.7L10 22h4l.5-2.6a8 8 0 0 0 3-1.7l2.3 1 2-3.5-2-1.5c.1-.6.2-1.1.2-1.7Z',
+    system: 'M8 8h8v8H8Zm-4 2h4m-4 4h4m8-4h4m-4 4h4M10 4v4m4-4v4m-4 8v4m4-4v4',
+    users: 'M12 12a4 4 0 1 0 0-8 4 4 0 0 0 0 8Zm-8 8c0-3.3 3.6-5 8-5s8 1.7 8 5',
+    external: 'M14 4h6v6m0-6-8 8M18 14v5a1 1 0 0 1-1 1H5a1 1 0 0 1-1-1V7a1 1 0 0 1 1-1h5'
+} %}
+<svg class="nav-icon" viewBox="0 0 24 24" width="18" height="18" fill="none" stroke="currentColor" stroke-width="1.7" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true" focusable="false"><path d="{{ paths[name]|default(paths.pages) }}"/></svg>

templates/admin/settings.html.twig

@@ -109,11 +109,11 @@
             </div>
             <div>
                 <label for="scrollTopColor">Farbe</label>
-                <input id="scrollTopColor" name="scrollTopColor" value="{{ settings.scrollTopColor }}" placeholder="@accent">
+                <input id="scrollTopColor" name="scrollTopColor" value="{{ settings.scrollTopColor }}" placeholder="@accent" data-color data-palette="{{ palette|json_encode|e('html_attr') }}">
             </div>
             <div>
                 <label for="scrollTopInk">Farbe des Pfeils</label>
-                <input id="scrollTopInk" name="scrollTopInk" value="{{ settings.scrollTopInk }}" placeholder="#ffffff">
+                <input id="scrollTopInk" name="scrollTopInk" value="{{ settings.scrollTopInk }}" placeholder="#ffffff" data-color data-palette="{{ palette|json_encode|e('html_attr') }}">
             </div>
             <div>
                 <label for="scrollTopLabel">Beschriftung für Vorlesesoftware</label>

templates/admin/shell.html.twig

@@ -5,31 +5,46 @@
 {% block body %}
 <header class="shell-nav">
     <a class="brand" href="{{ path('admin_pages') }}"><span class="brand-icon" aria-hidden="true">k.</span>kant<span>sites</span></a>
+    {# Auf dem Telefon ein Klappmenue, am Schreibtisch die gewohnte Spalte. Ein details-Element
+       kann beides, ohne eine Zeile JavaScript: die Zusammenfassung wird auf grossen Bildschirmen
+       ausgeblendet und der Inhalt dauerhaft gezeigt. Zwoelf Eintraege in einer Wischleiste zu
+       verstecken war die schlechtere Loesung - man sieht nie, was man nicht trifft. #}
+    <details class="shell-menu">
+        <summary>
+            <svg class="shell-menu-icon" viewBox="0 0 24 24" width="20" height="20" fill="none" stroke="currentColor" stroke-width="1.8" stroke-linecap="round" aria-hidden="true" focusable="false"><path d="M4 6h16M4 12h16M4 18h16"/></svg>
+            <span class="shell-menu-label">{{ {
+                'pages': 'Seiten', 'partials': 'Bereiche', 'menus': 'Menüs', 'media': 'Mediathek',
+                'forms': 'Formulare', 'statistics': 'Statistik', 'theme': 'Design',
+                'settings': 'Einstellungen', 'system': 'System', 'users': 'Benutzer',
+                'account': 'Mein Konto'
+            }[nav|default('')]|default('Verwaltung') }}</span>
+        </summary>
     <nav aria-label="Verwaltung">
         <p class="nav-label" id="nav-content">INHALT</p>
         <ul class="nav-list" aria-labelledby="nav-content">
             {% set entries = [
-                {id: 'pages', route: 'admin_pages', icon: '▤', label: 'Seiten'},
-                {id: 'partials', route: 'admin_partials', icon: '◫', label: 'Bereiche'},
-                {id: 'menus', route: 'admin_menus', icon: '☰', label: 'Menüs'},
-                {id: 'media', route: 'admin_media', icon: '▩', label: 'Mediathek'},
-                {id: 'forms', route: 'admin_forms', icon: '✉', label: 'Formulare'},
-                {id: 'statistics', route: 'admin_statistics', icon: '▁', label: 'Statistik'}
+                {id: 'pages', route: 'admin_pages', icon: 'pages', label: 'Seiten'},
+                {id: 'partials', route: 'admin_partials', icon: 'partials', label: 'Bereiche'},
+                {id: 'menus', route: 'admin_menus', icon: 'menus', label: 'Menüs'},
+                {id: 'media', route: 'admin_media', icon: 'media', label: 'Mediathek'},
+                {id: 'forms', route: 'admin_forms', icon: 'forms', label: 'Formulare'},
+                {id: 'statistics', route: 'admin_statistics', icon: 'statistics', label: 'Statistik'}
             ] %}
             {% for entry in entries %}
-            <li><a class="nav-item" href="{{ path(entry.route) }}"{{ nav|default('') == entry.id ? ' aria-current="page"' : '' }}><span class="nav-icon" aria-hidden="true">{{ entry.icon }}</span>{{ entry.label }}</a></li>
+            <li><a class="nav-item" href="{{ path(entry.route) }}"{{ nav|default('') == entry.id ? ' aria-current="page"' : '' }}>{% include 'admin/icon.html.twig' with {name: entry.icon} only %}{{ entry.label }}</a></li>
             {% endfor %}
         </ul>
         <p class="nav-label" id="nav-site">WEBSITE</p>
         <ul class="nav-list" aria-labelledby="nav-site">
-            <li><a class="nav-item" href="{{ path('admin_theme') }}"{{ nav|default('') == 'theme' ? ' aria-current="page"' : '' }}><span class="nav-icon" aria-hidden="true">◐</span>Design</a></li>
-            <li><a class="nav-item" href="{{ path('admin_settings') }}"{{ nav|default('') == 'settings' ? ' aria-current="page"' : '' }}><span class="nav-icon" aria-hidden="true">⚙</span>Einstellungen</a></li>
-            {% if is_granted('ROLE_ADMIN') %}<li><a class="nav-item" href="{{ path('admin_system') }}"{{ nav|default('') == 'system' ? ' aria-current="page"' : '' }}><span class="nav-icon" aria-hidden="true">⌬</span>System</a></li>{% endif %}
-            {% if is_granted('ROLE_ADMIN') %}<li><a class="nav-item" href="{{ path('admin_users') }}"{{ nav|default('') == 'users' ? ' aria-current="page"' : '' }}><span class="nav-icon" aria-hidden="true">☺</span>Benutzer</a></li>{% endif %}
-            <li><a class="nav-item nav-out" href="/">Website ansehen</a></li>
-            <li><a class="nav-item nav-out" href="/beitraege">Beitragsübersicht</a></li>
+            <li><a class="nav-item" href="{{ path('admin_theme') }}"{{ nav|default('') == 'theme' ? ' aria-current="page"' : '' }}>{% include 'admin/icon.html.twig' with {name: 'theme'} only %}Design</a></li>
+            <li><a class="nav-item" href="{{ path('admin_settings') }}"{{ nav|default('') == 'settings' ? ' aria-current="page"' : '' }}>{% include 'admin/icon.html.twig' with {name: 'settings'} only %}Einstellungen</a></li>
+            {% if is_granted('ROLE_ADMIN') %}<li><a class="nav-item" href="{{ path('admin_system') }}"{{ nav|default('') == 'system' ? ' aria-current="page"' : '' }}>{% include 'admin/icon.html.twig' with {name: 'system'} only %}System</a></li>{% endif %}
+            {% if is_granted('ROLE_ADMIN') %}<li><a class="nav-item" href="{{ path('admin_users') }}"{{ nav|default('') == 'users' ? ' aria-current="page"' : '' }}>{% include 'admin/icon.html.twig' with {name: 'users'} only %}Benutzer</a></li>{% endif %}
+            <li><a class="nav-item nav-out" href="/">{% include 'admin/icon.html.twig' with {name: 'external'} only %}Website ansehen</a></li>
+            <li><a class="nav-item nav-out" href="/beitraege">{% include 'admin/icon.html.twig' with {name: 'external'} only %}Beitragsübersicht</a></li>
         </ul>
     </nav>
+    </details>
     <div class="shell-foot">
         <p class="shell-version">Fassung {{ kant_version() }}</p>
         <a class="shell-user" href="{{ path('admin_account') }}"{{ nav|default('') == 'account' ? ' aria-current="page"' : '' }}><span class="shell-avatar" aria-hidden="true">{{ app.user.userIdentifier|first|upper }}</span><strong>{{ app.user.userIdentifier }}</strong></a>

templates/admin/system.html.twig

@@ -2,7 +2,7 @@
 {% set nav = 'system' %}
 {% block title %}System{% endblock %}
 {% block heading %}System und Update{% endblock %}
-{% block lead %}Welche Fassung läuft, ob ein Update möglich ist, und der Weg dorthin: sichern, Wartungszustand, Code wechseln, migrieren, Rauchtest.{% endblock %}
+{% block lead %}Welche Fassung läuft, ob ein Update möglich ist, und der Weg dorthin: sichern, Wartungszustand, Dateien tauschen, migrieren.{% endblock %}
 {% block content %}
 
 <div class="card">
@@ -22,7 +22,13 @@
                 <span class="muted">– geändert. Sie wird in der <code>robots.txt</code> nicht genannt; notiere sie dir an einem sicheren Ort. Zurück mit <code>php bin/console cms:admin:path admin</code>.</span>
                 {% endif %}
             </dd>
+            {% if state.worktree %}
             <dt>Stand</dt><dd><code>{{ state.describe }}</code>{% if state.commit != 'unbekannt' %} · Commit <code>{{ state.commit }}</code>{% endif %}</dd>
+            {% else %}
+            <dt>Eingerichtet über</dt>
+            <dd>das <strong>Releasearchiv</strong> <span class="muted">– kein Git in diesem Verzeichnis, und dafür ist es auch nicht gedacht. Updates laufen über die Karte weiter unten.</span></dd>
+            {% endif %}
+            {% if state.worktree %}
             <dt>Verfügbar</dt>
             <dd>
                 {% if available %}
@@ -33,6 +39,7 @@
                     <a href="{{ path('admin_system', {pruefen: 1}) }}">Beim Repository nachfragen</a>
                 {% endif %}
             </dd>
+            {% endif %}
         </dl>
 
         {% if state.maintenance %}
@@ -49,6 +56,11 @@
     </div>
 </div>
 
+{# Die Vorprüfung gehört zum Updateweg über Git: Arbeitsverzeichnis sauber, Datenbank
+   außerhalb von Git, Tag erreichbar. Auf einer Installation aus dem Releasearchiv prüft sie
+   Bedingungen, die dort keine sind - und zeigt lauter rote Ausrufezeichen für etwas, das
+   vollkommen in Ordnung ist. #}
+{% if state.worktree %}
 <div class="card">
     <div class="card-head"><h2>Vorprüfung</h2><span class="muted">Jede Bedingung wird geprüft, nicht angenommen</span></div>
     <div class="card-body">
@@ -62,7 +74,67 @@
         </ul>
     </div>
 </div>
+{% endif %}
 
+{# Waehrend das Archiv-Update auf seinen zweiten Schritt wartet, gehoert der Knopf dorthin -
+   zwei Knoepfe, die dasselbe tun, sind eine Frage zu viel. #}
+{% if pendingMigrations|default([]) and not archivePending %}
+<div class="card">
+    <div class="card-head">
+        <h2>Migrationen stehen aus</h2>
+        <span class="muted">{{ pendingMigrations|length }} Stück</span>
+    </div>
+    <div class="card-body">
+        <p class="notice">Der Code ist neuer als die Datenbank. Das passiert, wenn ein Update von Hand über FTP eingespielt wurde – dann fehlt der Schritt, den sonst der Updater übernimmt.</p>
+        <ul class="log-list">{% for name in pendingMigrations %}<li><code>{{ name }}</code></li>{% endfor %}</ul>
+        <p class="field-help">Lege vorher eine Sicherung an: Migrationen sind nicht umkehrbar, der Rückweg ist die Sicherung.</p>
+        <form action="{{ path('admin_system_migrate') }}" method="post">
+            <input type="hidden" name="_csrf_token" value="{{ csrf_token('system') }}">
+            <button class="primary" type="submit">Migrationen jetzt ausführen →</button>
+        </form>
+    </div>
+</div>
+{% endif %}
+
+<div class="card">
+    <div class="card-head">
+        <h2>{{ state.worktree ? 'Update aus dem Releasearchiv' : 'Update einspielen' }}</h2>
+        <span class="muted">{{ state.worktree ? 'Alternative zum Weg über Git' : 'holt die neue Fassung und tauscht die Dateien' }}</span>
+    </div>
+    <div class="card-body">
+        {% if archivePending %}
+        <p class="notice">Die Dateien der Fassung <strong>{{ archivePending.fassung }}</strong> liegen bereits (seit {{ archivePending.seit|slice(0, 16)|replace({"T": " "}) }} UTC). <strong>Es fehlen noch die Migrationen</strong> – bis dahin bleibt die Website im Wartungszustand.</p>
+        <form action="{{ path('admin_system_archive') }}" method="post">
+            <input type="hidden" name="_csrf_token" value="{{ csrf_token('system') }}">
+            <input type="hidden" name="finish" value="1">
+            <button class="primary" type="submit">Migrationen ausführen und freigeben →</button>
+        </form>
+        {% else %}
+        <p class="muted">Dieser Weg braucht kein Git: Er lädt das Archiv der neuen Fassung von der Releaseseite, vergleicht die Prüfsumme, sichert Datenbank und Medien, schaltet den Wartungszustand ein und ersetzt die Dateien der Anwendung. <strong>Unberührt bleiben <code>var/</code>, <code>.env</code>, <code>.env.local</code>, die geladenen Schriften und das erzeugte Stylesheet-Bündel.</strong> Der vorherige Stand wird beiseitegelegt, nicht gelöscht.</p>
+        <p class="field-help">Danach folgt ein zweiter Knopf für die Migrationen. Das ist kein Umweg: Erst eine neue Anfrage startet mit dem Code der neuen Fassung – ein Prozess, der sich selbst ausgetauscht hat, arbeitet mit dem alten weiter.</p>
+        {% if archiveVersion %}
+        <p class="notice done">Verfügbar: <strong>{{ archiveVersion }}</strong> (installiert: {{ state.version }}).</p>
+        {% elseif asked %}
+        <p class="field-help">Die Releaseseite nennt nichts Neueres als {{ state.version }}.</p>
+        {% else %}
+        <p class="field-help"><a href="{{ path('admin_system', {pruefen: 1}) }}">Nachsehen, ob es etwas Neues gibt</a> – das fragt die Releaseseite und dauert einen Moment.</p>
+        {% endif %}
+        <form action="{{ path('admin_system_archive') }}" method="post">
+            <input type="hidden" name="_csrf_token" value="{{ csrf_token('system') }}">
+            <div class="fields">
+                <div>
+                    <label for="archive-target">Fassung</label>
+                    <input id="archive-target" name="target" maxlength="20" placeholder="{{ archiveVersion ?: '1.4.2' }}" pattern="[0-9]+\.[0-9]+\.[0-9]+">
+                    <p class="field-help">Leer lassen für die neueste veröffentlichte Fassung.</p>
+                </div>
+            </div>
+            <button class="primary" type="submit">Update aus dem Archiv einspielen →</button>
+        </form>
+        {% endif %}
+    </div>
+</div>
+
+{% if state.worktree %}
 <div class="card">
     <div class="card-head"><h2>Update einspielen</h2><span class="muted">{{ ready ? 'Vorprüfung bestanden' : 'erst die Vorprüfung erfüllen' }}</span></div>
     <div class="card-body">
@@ -87,6 +159,7 @@
         </form>
     </div>
 </div>
+{% endif %}
 
 {% if steps is not empty %}
 <div class="card">
@@ -96,7 +169,12 @@
             {% for step in steps %}
             <li class="{{ step.ok ? 'check-ok' : 'check-bad' }}">
                 <span class="check-mark" aria-hidden="true">{{ step.ok ? '✓' : '!' }}</span>
-                <span><strong>{{ step.step }}</strong> {{ step.detail }}</span>
+                {# `step.label` ist die Schreibweise bis 1.4.4. Sie muss hier stehen bleiben: Beim
+                   Update von 1.4.4 auf 1.4.5 schreibt der **alte** Code die Schritte in die
+                   Sitzung und der **neue** zeigt sie an - eine Fassung, die nur die neue
+                   Schreibweise kennt, könnte das Update, das sie selbst einspielt, nicht
+                   berichten. #}
+                <span><strong>{{ step.step|default(step.label|default('Schritt')) }}</strong> {{ step.detail }}</span>
             </li>
             {% endfor %}
         </ol>

templates/admin/theme.html.twig

@@ -96,15 +96,15 @@
         </div>
         <div>
             <label for="base-color">Textfarbe</label>
-            <input id="base-color" name="base[color]" value="{{ theme.base.color }}" placeholder="@ink">
+            <input id="base-color" name="base[color]" value="{{ theme.base.color }}" placeholder="@ink" data-color data-palette="{{ theme.colors|json_encode|e('html_attr') }}">
         </div>
         <div>
             <label for="base-bg">Hintergrundfarbe</label>
-            <input id="base-bg" name="base[backgroundColor]" value="{{ theme.base.backgroundColor }}" placeholder="@paper">
+            <input id="base-bg" name="base[backgroundColor]" value="{{ theme.base.backgroundColor }}" placeholder="@paper" data-color data-palette="{{ theme.colors|json_encode|e('html_attr') }}">
         </div>
         <div>
             <label for="base-link">Linkfarbe</label>
-            <input id="base-link" name="base[linkColor]" value="{{ theme.base.linkColor }}" placeholder="@accent">
+            <input id="base-link" name="base[linkColor]" value="{{ theme.base.linkColor }}" placeholder="@accent" data-color data-palette="{{ theme.colors|json_encode|e('html_attr') }}">
         </div>
     </div>
     <p class="field-help">Farben entweder als <code>@schlüssel</code> aus der Palette oder als Wert wie <code>#1a2b3c</code>.</p>

templates/page.html.twig

@@ -27,6 +27,11 @@
     {% include 'favicon.html.twig' %}
     {# Ein Bündel statt vier Dateien: jede einzelne hält das Zeichnen der Seite auf. Fehlt es
        (kein Schreibrecht im Ordner), werden die Quellen einzeln geladen - langsamer, aber heil. #}
+    {# Das grosse Bild ueber der Falz, wenn es der Hintergrund des ersten Abschnitts ist: Es
+       steht sonst nur im Stylesheet und wird erst gefunden, wenn das geparst ist. Genau eine der
+       drei Abfragen trifft zu - und zwar auf dieselbe Variante, die auch die Regel nimmt. #}
+    {% for bild in heroBackground|default([]) %}<link rel="preload" as="image" href="{{ bild.src }}" media="{{ bild.media }}" fetchpriority="high">
+    {% endfor %}
     {% if styleBundle|default(null) %}
     <link rel="stylesheet" href="{{ styleBundle }}">
     {% else %}

tests/ArchiveUpdateTest.php

@@ -0,0 +1,362 @@
+<?php
+
+namespace App\Tests;
+
+use App\Infrastructure\ConnectionFactory;
+use App\Ops\ArchiveUpdate;
+use App\Ops\Backup;
+use App\Ops\CommandRunner;
+use App\Ops\Download;
+use App\Ops\Updater;
+use Doctrine\DBAL\Connection;
+use PHPUnit\Framework\TestCase;
+
+/**
+ * Das Update über das Releasearchiv - der Weg für Installationen ohne Git.
+ *
+ * Auf geteiltem Hosting gibt es keine Arbeitskopie, also auch kein `git fetch`. Dort wird über
+ * das Archiv installiert und über das Archiv aktualisiert, und das ist der Weg, den die meisten
+ * Installationen dieses CMS nehmen werden. Er war bis hierhin ungeprüft.
+ *
+ * Geprüft wird gegen eine Installation in einem Wegwerfverzeichnis und eine Releaseseite, die im
+ * Speicher liegt (@see ReleaseOnDisk): echte Archive, echte Prüfsummen, echtes Entpacken, echte
+ * Umbenennungen - nur eben ohne Netz. Die Frage, um die es geht, ist nicht „läuft der Download",
+ * sondern: Bleibt stehen, was dem Betreiber gehört?
+ */
+final class ArchiveUpdateTest extends TestCase
+{
+    private const BASE = 'https://releases.example.invalid/download';
+    private const API = 'https://releases.example.invalid/api';
+
+    private string $root;
+    private Connection $db;
+    private ReleaseOnDisk $releases;
+
+    protected function setUp(): void
+    {
+        $this->root = str_replace('\\', '/', sys_get_temp_dir()).'/kant-archiv-'.bin2hex(random_bytes(6));
+        // Eine Installation, wie sie nach dem Entpacken eines Releases aussieht.
+        foreach (['bin', 'config', 'migrations', 'src', 'templates', 'vendor', 'var/media', 'public/assets/fonts', 'public/assets/build'] as $verzeichnis) {
+            mkdir($this->root.'/'.$verzeichnis, 0o775, true);
+        }
+        $this->write('VERSION', "1.0.0\n");
+        $this->write('vendor/autoload.php', "<?php // alt\n");
+        $this->write('src/Alt.php', "<?php // wird ersetzt\n");
+        $this->write('composer.json', '{"name":"alt"}');
+        $this->write('composer.lock', '{"packages":[]}');
+        $this->write('migrations.php', "<?php return [];\n");
+        $this->write('cli-config.php', "<?php // alt\n");
+        $this->write('public/index.php', "<?php // alt\n");
+        $this->write('public/assets/site.css', 'body{color:alt}');
+        // Was dem Betreiber gehört - hochgeladene Schriften, das erzeugte Bündel, seine Medien,
+        // seine Datenbank, sein Geheimnis. Nichts davon steht im Archiv.
+        $this->write('public/assets/fonts/eigene.woff2', 'SCHRIFT');
+        $this->write('public/assets/build/bundle.css', 'body{color:erzeugt}');
+        $this->write('var/media/bild.jpg', 'BILD');
+        $this->write('.env', "APP_SECRET=geheim\n");
+
+        $this->db = ConnectionFactory::create('sqlite:///'.$this->root.'/var/cms.db');
+        TestSchema::build($this->db);
+        $this->releases = new ReleaseOnDisk();
+    }
+
+    protected function tearDown(): void
+    {
+        $this->db->close();
+        gc_collect_cycles();
+        $this->removeDirectory($this->root);
+    }
+
+    public function testAnUpdateReplacesTheApplicationAndLeavesTheInstallationUntouched(): void
+    {
+        $this->releases->release(self::BASE, self::API, '1.1.0', $this->archive('1.1.0'));
+
+        $ergebnis = $this->updater()->run();
+
+        self::assertTrue($ergebnis['ok'], $this->explain($ergebnis));
+        self::assertTrue($ergebnis['migrate'] ?? false, 'Nach dem Ersetzen fehlen noch die Migrationen.');
+        self::assertSame(
+            ['Fassung ermitteln', 'Sicherung', 'Archiv laden', 'Prüfsumme', 'Entpacken', 'Wartungszustand', 'Dateien ersetzen', 'Zwischenspeicher', 'Dateien sind ersetzt'],
+            array_column($ergebnis['steps'], 'step'),
+            'Die Reihenfolge ist der Punkt: gesichert wird vor dem ersten Handgriff, geprüft vor dem Entpacken.',
+        );
+
+        // Die Anwendung ist die neue.
+        self::assertSame('1.1.0', trim((string) file_get_contents($this->root.'/VERSION')));
+        self::assertFileExists($this->root.'/src/Neu.php');
+        self::assertFileDoesNotExist($this->root.'/src/Alt.php', 'src/ wird ersetzt, nicht ergänzt.');
+        self::assertStringContainsString('neu', (string) file_get_contents($this->root.'/public/index.php'));
+        self::assertSame('body{color:neu}', file_get_contents($this->root.'/public/assets/site.css'));
+
+        // Und alles, was dem Betreiber gehört, steht noch da.
+        self::assertSame('SCHRIFT', file_get_contents($this->root.'/public/assets/fonts/eigene.woff2'));
+        self::assertFileDoesNotExist($this->root.'/public/assets/fonts/andere.woff2', 'Schriften aus dem Archiv würden die hochgeladenen überschreiben.');
+        self::assertSame('body{color:erzeugt}', file_get_contents($this->root.'/public/assets/build/bundle.css'));
+        self::assertSame('BILD', file_get_contents($this->root.'/var/media/bild.jpg'));
+        self::assertStringContainsString('APP_SECRET=geheim', (string) file_get_contents($this->root.'/.env'));
+        self::assertFileExists($this->root.'/var/cms.db');
+
+        // Die Website bleibt bis zu den Migrationen im Wartungszustand, und der alte Stand liegt
+        // noch da, falls doch etwas zurückgeschoben werden muss.
+        self::assertFileExists($this->root.'/'.Updater::MAINTENANCE_FILE);
+        self::assertCount(1, glob($this->root.'/var/backups/sicherung-*') ?: []);
+        self::assertCount(1, glob($this->root.'/var/update/*/alt/VERSION') ?: []);
+
+        // Der zweite Schritt ist auf der Platte vermerkt, nicht in der Sitzung: fällt sie aus,
+        // bliebe die Website sonst im Wartungszustand und der Knopf wäre weg.
+        $offen = $this->updater()->pending();
+        self::assertNotNull($offen, 'Ohne Marke findet niemand mehr den zweiten Schritt.');
+        self::assertSame('1.1.0', $offen['fassung']);
+    }
+
+    public function testNothingIsPendingBeforeAnUpdateAndAfterAFailedOne(): void
+    {
+        self::assertNull($this->updater()->pending());
+
+        $this->releases->release(self::BASE, self::API, '1.1.0', $this->archive('1.1.0'), str_repeat('a', 64));
+        $this->updater()->run();
+
+        self::assertNull($this->updater()->pending(), 'Ein Update, das nicht ersetzt hat, lässt nichts offen.');
+    }
+
+    public function testAnArchiveWithTheWrongChecksumIsNeverUnpacked(): void
+    {
+        // Der Fall, für den die Prüfsumme da ist: unterwegs ausgetauscht oder halb übertragen.
+        $this->releases->release(self::BASE, self::API, '1.1.0', $this->archive('1.1.0'), str_repeat('a', 64));
+
+        $ergebnis = $this->updater()->run();
+
+        self::assertFalse($ergebnis['ok']);
+        self::assertSame('Prüfsumme', $this->firstFailed($ergebnis)['step']);
+        self::assertSame('1.0.0', trim((string) file_get_contents($this->root.'/VERSION')), 'Nichts wurde ersetzt.');
+        self::assertFileExists($this->root.'/src/Alt.php');
+        self::assertFileDoesNotExist($this->root.'/'.Updater::MAINTENANCE_FILE, 'Die Website darf davon nichts merken.');
+    }
+
+    public function testAnIncompleteArchiveIsRefusedBeforeTheSiteGoesIntoMaintenance(): void
+    {
+        // Ein Archiv ohne vendor/ ist auf einem Hosting ohne Composer wertlos - das muss auffallen,
+        // bevor die halbe Anwendung ersetzt ist.
+        $this->releases->release(self::BASE, self::API, '1.1.0', $this->archive('1.1.0', false));
+
+        $ergebnis = $this->updater()->run();
+
+        self::assertFalse($ergebnis['ok']);
+        self::assertSame('Entpacken', $this->firstFailed($ergebnis)['step']);
+        self::assertStringContainsString('vendor', $this->firstFailed($ergebnis)['detail']);
+        self::assertSame('1.0.0', trim((string) file_get_contents($this->root.'/VERSION')));
+        self::assertFileDoesNotExist($this->root.'/'.Updater::MAINTENANCE_FILE);
+    }
+
+    public function testAnUnreachableReleasePageChangesNothingAtAll(): void
+    {
+        // Viele Hoster lassen ausgehende Verbindungen nicht zu. Dann passiert hier gar nichts -
+        // insbesondere wird nicht gesichert, nicht ersetzt und kein Arbeitsordner angelegt.
+        $ergebnis = $this->updater()->run();
+
+        self::assertFalse($ergebnis['ok']);
+        self::assertCount(1, $ergebnis['steps']);
+        self::assertStringContainsString('Releaseseite', $ergebnis['steps'][0]['detail']);
+        self::assertSame([], glob($this->root.'/var/update/*') ?: []);
+        self::assertSame([], glob($this->root.'/var/backups/*') ?: []);
+        self::assertFileDoesNotExist($this->root.'/'.Updater::MAINTENANCE_FILE);
+    }
+
+    public function testTheNewestVersionAlreadyInstalledIsNotAFailure(): void
+    {
+        $this->releases->release(self::BASE, self::API, '1.0.0', $this->archive('1.0.0'));
+        $updater = $this->updater();
+
+        self::assertNull($updater->updateAvailable());
+        $ergebnis = $updater->run();
+
+        self::assertTrue($ergebnis['ok'], $this->explain($ergebnis));
+        self::assertFalse($ergebnis['migrate'] ?? false);
+        self::assertSame('Nichts zu tun', end($ergebnis['steps'])['step']);
+        self::assertSame([], glob($this->root.'/var/backups/*') ?: []);
+    }
+
+    public function testTheAvailableVersionIsOnlyReportedWhenItIsNewer(): void
+    {
+        self::assertNull($this->updater()->updateAvailable(), 'Ohne Antwort gibt es keine neue Fassung.');
+
+        $this->releases->release(self::BASE, self::API, '1.1.0', $this->archive('1.1.0'));
+        self::assertSame('1.1.0', $this->updater()->updateAvailable());
+
+        // Etwas, das keine Fassung ist, wird nicht angeboten - sonst lädt der Updater irgendetwas.
+        $this->releases->serve(self::API.'/releases/latest', json_encode(['tag_name' => 'nightly']));
+        self::assertNull($this->updater()->updateAvailable());
+    }
+
+    public function testTheDownloaderRefusesEverythingThatIsNotHttps(): void
+    {
+        // Kein Netz nötig, um das zu prüfen: die Sperre greift vor dem ersten Byte. Ein Update
+        // über eine unverschlüsselte Verbindung könnte unterwegs ausgetauscht worden sein.
+        $download = new Download();
+        foreach (['http://releases.example.invalid/a.zip', 'ftp://releases.example.invalid/a.zip', 'file:///etc/passwd', '/tmp/a.zip'] as $url) {
+            self::assertNull($download->get($url), $url.' darf nicht geholt werden.');
+            self::assertStringContainsString('HTTPS', $download->reason(), 'Und es muss dastehen, woran es lag.');
+        }
+    }
+
+    public function testAFailedDownloadSaysWhatWentWrong(): void
+    {
+        // Drei Ursachen sehen in der Verwaltung sonst gleich aus: kein Weg nach draußen, kein
+        // Zertifikatsspeicher, falsche Adresse. Die mittlere ist auf einem Webhosting die
+        // häufigste und in einer Minute behoben - wenn jemand sie liest.
+        $download = new Download(connectTimeout: 2, timeout: 5);
+        self::assertNull($download->get('https://kein-server.invalid/datei.zip'));
+        self::assertNotSame('', $download->reason(), 'Ein Fehlschlag ohne Grund ist eine Sackgasse.');
+
+        // Und der Weg durch den Updater: Die Meldung im Schritt trägt den Grund mit.
+        $this->releases->serve(self::API.'/releases/latest', json_encode(['tag_name' => 'v1.1.0']));
+        $this->releases->serve(sprintf('%s/v1.1.0/kantsites-1.1.0.zip.sha256', self::BASE), str_repeat('a', 64));
+        $ergebnis = $this->updater()->run();
+
+        self::assertFalse($ergebnis['ok']);
+        $gescheitert = $this->firstFailed($ergebnis);
+        self::assertSame('Archiv laden', $gescheitert['step']);
+        self::assertStringContainsString('herunterladen', $gescheitert['detail']);
+    }
+
+    public function testEveryStepIsWrittenToTheLogWhileItHappens(): void
+    {
+        // Auf Umuts Hosting endete die Ergebnisseite mit 500, und damit war auch verloren, was
+        // der Updater berichtet hatte. Eine Zeile in einer Datei überlebt das - und auf einem
+        // Hosting ohne Konsole ist sie manchmal das Einzige, was von einem gescheiterten Update
+        // übrig bleibt. Geschrieben wird während des Laufs, nicht am Ende: Ein Lauf, der
+        // mittendrin abbricht, hat sonst nichts hinterlassen.
+        $this->releases->release(self::BASE, self::API, '1.1.0', $this->archive('1.1.0'), str_repeat('a', 64));
+        $this->updater()->run();
+
+        $protokoll = (string) file_get_contents($this->root.'/var/updates.log');
+        self::assertStringContainsString('Update aus dem Archiv', $protokoll);
+        self::assertStringContainsString('ok     Fassung ermitteln', $protokoll);
+        self::assertStringContainsString('FEHLER Prüfsumme', $protokoll, 'Gerade der gescheiterte Schritt muss dort stehen.');
+    }
+
+    public function testTheUpdaterReplacesEveryEntryTheReleaseArchiveShips(): void
+    {
+        // Der Fehler, der schon einmal auf dem Hosting aufgeschlagen ist, andersherum: Kommt eine
+        // Datei neu ins Release, ohne dass sie hier in der Ersetzungsliste steht, bleibt sie beim
+        // Update auf dem alten Stand - und das fällt erst auf, wenn etwas nicht mehr passt.
+        $skript = (string) file_get_contents(__DIR__.'/../scripts/build-release.php');
+        preg_match('/\$include = \[(.+?)\];/s', $skript, $mit);
+        self::assertNotEmpty($mit, 'Die Mitnahmeliste des Releaseskripts ist nicht auffindbar.');
+
+        $quelle = (string) file_get_contents(__DIR__.'/../src/Ops/ArchiveUpdate.php');
+        preg_match('/ERSETZEN = \[(.+?)\];/s', $quelle, $ersetzt);
+        self::assertNotEmpty($ersetzt, 'Die Ersetzungsliste des Updaters ist nicht auffindbar.');
+        $liste = static fn (string $roh): array => array_filter(array_map(
+            static fn (string $eintrag): string => trim($eintrag, " '\r\n\t"),
+            explode(',', $roh),
+        ));
+
+        // public/ wird Datei für Datei zusammengeführt statt ersetzt, die drei anderen sind
+        // Beiwerk, das eine laufende Installation nicht liest.
+        $anders = ['public', 'README.md', 'LICENSE', '.env.example'];
+        foreach ($liste($mit[1]) as $eintrag) {
+            self::assertContains(
+                $eintrag,
+                [...$liste($ersetzt[1]), ...$anders],
+                sprintf('„%s" liegt im Releasearchiv, wird beim Update aber weder ersetzt noch bewusst ausgelassen.', $eintrag),
+            );
+        }
+    }
+
+    private function updater(): ArchiveUpdate
+    {
+        $runner = new CommandRunner();
+        $url = 'sqlite:///'.$this->root.'/var/cms.db';
+
+        return new ArchiveUpdate(
+            $this->root,
+            new Updater($this->root, $url, $runner, $this->db),
+            new Backup($this->root, $url, $this->root.'/var/media', $this->db, $runner),
+            $this->releases,
+            self::BASE,
+            self::API,
+        );
+    }
+
+    /**
+     * Baut ein Releasearchiv, wie `scripts/build-release.php` es baut: ein Verzeichnis
+     * `kantsites-<Fassung>/` im Zip, darin die Anwendung.
+     */
+    private function archive(string $version, bool $vollstaendig = true): string
+    {
+        $pfad = $this->root.'/var/release-'.$version.'.zip';
+        @mkdir(dirname($pfad), 0o775, true);
+        $zip = new \ZipArchive();
+        self::assertTrue($zip->open($pfad, \ZipArchive::CREATE | \ZipArchive::OVERWRITE));
+        $inhalt = [
+            'VERSION' => $version."\n",
+            'src/Neu.php' => "<?php // neu\n",
+            'bin/console' => "<?php // neu\n",
+            'config/services.yaml' => "services:\n",
+            'templates/base.html.twig' => 'neu',
+            'migrations.php' => "<?php return ['neu'];\n",
+            'cli-config.php' => "<?php // neu\n",
+            'composer.json' => '{"name":"neu"}',
+            'composer.lock' => '{"packages":["neu"]}',
+            'public/index.php' => "<?php // neu\n",
+            'public/assets/site.css' => 'body{color:neu}',
+            // Das Archiv bringt eigene Schriften und ein eigenes Bündel mit - beides darf die
+            // Installation nicht überschreiben.
+            'public/assets/fonts/andere.woff2' => 'FREMD',
+            'public/assets/build/bundle.css' => 'body{color:fremd}',
+        ];
+        if ($vollstaendig) {
+            $inhalt['vendor/autoload.php'] = "<?php // neu\n";
+        }
+        foreach ($inhalt as $name => $text) {
+            $zip->addFromString('kantsites-'.$version.'/'.$name, $text);
+        }
+        $zip->close();
+        $roh = (string) file_get_contents($pfad);
+        unlink($pfad);
+
+        return $roh;
+    }
+
+    private function write(string $relativ, string $inhalt): void
+    {
+        @mkdir(dirname($this->root.'/'.$relativ), 0o775, true);
+        file_put_contents($this->root.'/'.$relativ, $inhalt);
+    }
+
+    /** @param array{steps: list<array{step: string, ok: bool, detail: string}>} $ergebnis */
+    private function firstFailed(array $ergebnis): array
+    {
+        foreach ($ergebnis['steps'] as $schritt) {
+            if (!$schritt['ok']) {
+                return $schritt;
+            }
+        }
+        self::fail('Kein gescheiterter Schritt: '.$this->explain($ergebnis));
+    }
+
+    private function explain(array $ergebnis): string
+    {
+        return implode("\n", array_map(
+            static fn (array $schritt): string => sprintf('%s %s: %s', $schritt['ok'] ? 'ok' : 'FEHLER', $schritt['step'], $schritt['detail']),
+            $ergebnis['steps'],
+        ));
+    }
+
+    private function removeDirectory(string $pfad): void
+    {
+        if (!is_dir($pfad)) {
+            @unlink($pfad);
+
+            return;
+        }
+        foreach (scandir($pfad) ?: [] as $eintrag) {
+            if ('.' !== $eintrag && '..' !== $eintrag) {
+                @chmod($pfad.'/'.$eintrag, 0o777);
+                $this->removeDirectory($pfad.'/'.$eintrag);
+            }
+        }
+        @rmdir($pfad);
+    }
+}

tests/BackupTest.php

@@ -40,6 +40,36 @@ final class BackupTest extends TestCase
         $this->backup = new Backup($this->root, $url, $this->root.'/var/media', $this->db, new CommandRunner());
     }
 
+    public function testABackupWorksOnAnOlderSqliteToo(): void
+    {
+        // Auf Umuts Hosting endete „Sicherung anlegen" mit 500. Der Grund: `VACUUM INTO` gibt es
+        // erst seit SQLite 3.27, und dort läuft eine ältere Fassung - alt genug für die
+        // Installation (die braucht 3.16), zu alt für die Sicherung. Statt VACUUM wird dann unter
+        // einer Schreibsperre kopiert. Geprüft wird das hier wirklich und nicht nur versprochen:
+        // die Schwelle wird so hoch gesetzt, dass der Ersatzweg läuft.
+        $url = 'sqlite:///'.str_replace('\\', '/', $this->root).'/var/cms.db';
+        $alt = new Backup($this->root, $url, $this->root.'/var/media', $this->db, new CommandRunner(), '99.0.0');
+
+        $sicherung = $alt->create('auf altem SQLite');
+
+        $datei = $sicherung['path'].'/cms.db';
+        self::assertFileExists($datei);
+        self::assertGreaterThan(0, (int) filesize($datei));
+
+        // Und es ist eine vollständige, lesbare Datenbank - nicht ein halb geschriebener Torso.
+        $kopie = new \PDO('sqlite:'.$datei);
+        self::assertSame(
+            (int) $this->db->fetchOne('SELECT COUNT(*) FROM revision'),
+            (int) $kopie->query('SELECT COUNT(*) FROM revision')->fetchColumn(),
+            'Die Kopie muss denselben Inhalt haben wie das Original.',
+        );
+        self::assertSame(
+            $sicherung['manifest']['datenbank']['sha256'],
+            hash_file('sha256', $datei),
+            'Die Prüfsumme im Manifest gehört zu genau dieser Datei.',
+        );
+    }
+
     protected function tearDown(): void
     {
         $this->db->close();

tests/CmsTest.php

@@ -1077,6 +1077,30 @@ final class CmsTest extends TestCase
         }
     }
 
+    public function testTheAdministrationDrawsItsOwnIconsInsteadOfBorrowingCharacters(): void
+    {
+        // Umut: „Machst du auch gleich eigene Icons statt die Web-Dinger zu nutzen – auf dem
+        // Smartphone kommen sonst Emojis.“ Genau so ist es: ein Telefon ersetzt ein Zeichen wie
+        // das Zahnrad durch ein buntes Emoji in fremdem Stil, und die Navigation sieht aus wie
+        // zusammengewürfelt. Eigene Pfade sind eine Linienstärke, eine Farbe und kein Request.
+        $shell = (string) file_get_contents(__DIR__.'/../templates/admin/shell.html.twig');
+        self::assertDoesNotMatchRegularExpression(
+            '/[\\x{2190}-\\x{2BFF}\\x{1F300}-\\x{1FAFF}]/u',
+            $shell,
+            'In der Navigation steht ein Zeichen, das ein Telefon zum Emoji macht.',
+        );
+        self::assertStringContainsString('admin/icon.html.twig', $shell);
+
+        $icons = (string) file_get_contents(__DIR__.'/../templates/admin/icon.html.twig');
+        // Jedes verwendete Symbol muss es geben - sonst zeichnet die Vorlage stillschweigend das
+        // Ersatzsymbol, und zwei Einträge sehen gleich aus.
+        foreach (['pages', 'partials', 'menus', 'media', 'forms', 'statistics', 'theme', 'settings', 'system', 'users', 'external'] as $name) {
+            self::assertStringContainsString($name.": 'M", $icons, $name.' fehlt in der Symbolsammlung.');
+        }
+        preg_match_all("/'(M[^']+)'/", $icons, $pfade);
+        self::assertSame(count($pfade[1]), count(array_unique($pfade[1])), 'Zwei Symbole tragen denselben Pfad.');
+    }
+
     public function testNoStylesheetHasADanglingSelector(): void
     {
         // Gefunden, als der Einwilligungsdialog plötzlich ungestaltet unter dem Fuß stand: beim
@@ -2913,6 +2937,71 @@ final class CmsTest extends TestCase
         self::assertStringNotContainsString('fetchpriority', $second);
     }
 
+    public function testTheBackgroundOfTheFirstSectionIsFetchedBeforeTheStylesheetFindsIt(): void
+    {
+        // Auf der Startseite des Piloten ist das größte Element über der Falz kein `<img>`, sondern
+        // der Hintergrund des ersten Abschnitts. Ein Hintergrundbild steht nur im Stylesheet, und
+        // das kommt nach dem HTML - der Browser erfährt also erst vom Bild, wenn er das CSS
+        // geparst hat. Gemessen: 1,3 s statt 0,9 s bis zum größten Element.
+        $media = new MediaLibrary($this->db, $this->path.'-media');
+        $datei = tempnam(sys_get_temp_dir(), 'kant-hero-');
+        $limit = ini_get('memory_limit');
+        ini_set('memory_limit', '512M');
+
+        try {
+            $bild = imagecreatetruecolor(2600, 1600);
+            imagejpeg($bild, $datei, 80);
+            imagedestroy($bild);
+            $item = $media->upload(new UploadedFile($datei, 'hero.jpg', test: true));
+
+            $version = static fn (Connection $db): int => (int) $db->fetchOne('SELECT version FROM page WHERE id = ?', ['page-1']);
+            $ohne = DemoContent::starter('Ohne Hintergrund');
+            $entwurf = $this->pages->saveDraft('page-1', $ohne, $version($this->db));
+            $this->pages->publish('page-1', $entwurf, $version($this->db));
+            $sparsam = (int) $this->request('/')->headers->get('X-Kant-Queries');
+
+            $mit = DemoContent::starter('Mit Hintergrund');
+            $mit['schemaVersion'] = max(10, $mit['schemaVersion'] ?? 10);
+            $mit['blocks'][0]['style']['desktop']['backgroundImage'] = $item['id'];
+            $entwurf = $this->pages->saveDraft('page-1', $mit, $version($this->db));
+            $this->pages->publish('page-1', $entwurf, $version($this->db));
+            $antwort = $this->request('/');
+            $html = (string) $antwort->getContent();
+
+            // Drei Verweise, einer je Gerät - und genau einer trifft zu.
+            preg_match_all('/<link rel="preload" as="image" href="([^"]+)" media="([^"]+)"[^>]*>/', $html, $treffer, PREG_SET_ORDER);
+            self::assertCount(3, $treffer, 'Der Hintergrund des ersten Abschnitts wird nicht vorab geholt.');
+            self::assertSame(
+                ['(min-width:1025px)', '(min-width:768px) and (max-width:1024px)', '(max-width:767px)'],
+                array_column($treffer, 2),
+            );
+            self::assertSame(
+                ['/media/'.$item['id'].'/2400', '/media/'.$item['id'].'/1600', '/media/'.$item['id'].'/960'],
+                array_column($treffer, 1),
+                'Jedes Gerät bekommt die Variante, die es auch ohne Vorabholen bekäme.',
+            );
+            foreach ($treffer as $verweis) {
+                // Der Punkt der Übung: Vorabverweis und Regel müssen dieselbe Datei meinen. Sonst
+                // lädt der Browser zwei Bilder statt einem, und das Vorabholen kostet mehr als es
+                // bringt.
+                self::assertStringContainsString('url("'.$verweis[1].'")', $html, 'Der Vorabverweis meint eine andere Datei als die Regel.');
+                self::assertStringContainsString('fetchpriority="high"', $verweis[0]);
+            }
+
+            // Dasselbe Bild wird während einer Ausgabe mehrfach gesucht: je Gerät eine Regel, dazu
+            // der Kopf. Gefragt wird trotzdem nur einmal.
+            $mitBild = (int) $antwort->headers->get('X-Kant-Queries');
+            self::assertLessThanOrEqual($sparsam + 1, $mitBild, sprintf(
+                'Ein Hintergrundbild kostet eine Abfrage, nicht vier (%d statt %d).',
+                $mitBild,
+                $sparsam,
+            ));
+        } finally {
+            @unlink($datei);
+            ini_set('memory_limit', (string) $limit);
+        }
+    }
+
     public function testAPageDoesNotAskTheDatabaseOverAndOver(): void
     {
         $this->pages->publish('page-1', $this->pages->saveDraft('page-1', DemoContent::pages()['home'], 0), 1);

tests/ReleaseOnDisk.php

@@ -0,0 +1,46 @@
+<?php
+
+namespace App\Tests;
+
+use App\Ops\Download;
+
+/**
+ * Eine Releaseseite, die im Dateisystem liegt statt im Netz.
+ *
+ * Ein Test, der wirklich nach git.kant-it.de greift, prüft die Leitung und nicht den Updater: er
+ * schlägt fehl, wenn der Server umzieht, und er ist grün, wenn im Archiv Unsinn steht. Diese
+ * Attrappe beantwortet dieselben drei Adressen - Releaseliste, Archiv, Prüfsumme - aus dem
+ * Speicher und merkt sich, was abgefragt wurde.
+ */
+final class ReleaseOnDisk extends Download
+{
+    /** @var array<string, string> */
+    private array $antworten = [];
+
+    /** @var list<string> */
+    public array $abgefragt = [];
+
+    public function serve(string $url, string $inhalt): void
+    {
+        $this->antworten[$url] = $inhalt;
+    }
+
+    /** Legt ein vollständiges Release ab: Releaseliste, Archiv und Prüfsumme. */
+    public function release(string $base, string $api, string $version, string $archiv, ?string $checksum = null): void
+    {
+        $this->serve($api.'/releases/latest', json_encode(['tag_name' => 'v'.$version], JSON_THROW_ON_ERROR));
+        $this->serve(sprintf('%s/v%s/kantsites-%s.zip', $base, $version, $version), $archiv);
+        $this->serve(sprintf('%s/v%s/kantsites-%s.zip.sha256', $base, $version, $version), sprintf(
+            "%s  kantsites-%s.zip\n",
+            $checksum ?? hash('sha256', $archiv),
+            $version,
+        ));
+    }
+
+    public function get(string $url): ?string
+    {
+        $this->abgefragt[] = $url;
+
+        return $this->antworten[$url] ?? null;
+    }
+}

tests/SystemScreenTest.php

@@ -0,0 +1,175 @@
+<?php
+
+namespace App\Tests;
+
+use App\Content\DemoContent;
+use App\Content\DocumentValidator;
+use App\Content\MediaLibrary;
+use App\Content\PageRepository;
+use App\Content\PartialRepository;
+use App\Content\SiteSettings;
+use App\Infrastructure\ConnectionFactory;
+use App\Kernel;
+use App\Ops\ArchiveUpdate;
+use App\Ops\Backup;
+use App\Ops\CommandRunner;
+use App\Ops\Download;
+use App\Ops\Updater;
+use Doctrine\DBAL\Connection;
+use Symfony\Bundle\FrameworkBundle\KernelBrowser;
+use Symfony\Bundle\FrameworkBundle\Test\WebTestCase;
+
+/**
+ * Der Bildschirm „System“ - die einzige Stelle, an der eine Installation ohne Konsole erfährt,
+ * dass etwas mit ihr nicht stimmt.
+ *
+ * Geprüft wird hier nicht das Aussehen, sondern zwei Eigenschaften, die schweigend verschwinden
+ * können: dass ausstehende Migrationen dort **auffallen**, und dass niemand sie auslösen kann,
+ * der nicht angemeldeter Administrator ist. Beides fiel beim Veröffentlichen von 1.4.3 auf -
+ * siehe ADR 070.
+ */
+final class SystemScreenTest extends WebTestCase
+{
+    private const FIXTURE_PASSWORD = 'Fixture-only-password';
+
+    private Connection $db;
+    private string $path;
+    private array $previous;
+
+    protected static function getKernelClass(): string
+    {
+        return Kernel::class;
+    }
+
+    protected function setUp(): void
+    {
+        $this->path = tempnam(sys_get_temp_dir(), 'kant-system-');
+        $url = 'sqlite:///'.str_replace('\\', '/', $this->path);
+        $this->previous = [$_SERVER, $_ENV];
+        foreach (['APP_SECRET' => 'isolated-test-secret', 'DATABASE_URL' => $url, 'SITE_ORIGIN' => 'https://cms.test', 'MEDIA_DIRECTORY' => $this->path.'-media'] as $key => $value) {
+            $_SERVER[$key] = $_ENV[$key] = $value;
+        }
+        $this->db = ConnectionFactory::create($url);
+        // Die Tabellen entstehen hier über das Testschema und nicht über die Migrationen - genau
+        // die Lage einer Installation, deren Dateien von Hand hochgeladen wurden: Der Code ist
+        // neu, die Migrationsliste der Datenbank kennt ihn nicht.
+        TestSchema::build($this->db);
+        $this->db->insert('website', ['id' => 'default', 'name' => 'Test', 'default_locale' => 'de', 'theme' => '{}']);
+        $this->db->insert('page', ['id' => 'p1', 'slug' => 'home', 'path' => 'home', 'type' => 'page', 'locale' => 'de', 'website_id' => 'default', 'version' => 0, 'created_at' => gmdate('Y-m-d H:i:s')]);
+        $pages = new PageRepository($this->db, new DocumentValidator(), new SiteSettings($this->db, new MediaLibrary($this->db, $this->path.'-media')));
+        $pages->publish('p1', $pages->saveDraft('p1', DemoContent::pages()['home'], 0), 1);
+        $partials = new PartialRepository($this->db, new DocumentValidator());
+        foreach (DemoContent::areas() as $kind => $area) {
+            $partials->create($kind, 'default', $area['name'], $area['document']);
+        }
+        foreach (['admin' => 'ROLE_ADMIN', 'editor' => 'ROLE_EDITOR'] as $username => $role) {
+            $this->db->insert('cms_user', [
+                'id' => bin2hex(random_bytes(8)),
+                'username' => $username,
+                'password_hash' => password_hash(self::FIXTURE_PASSWORD, PASSWORD_BCRYPT, ['cost' => 4]),
+                'roles' => json_encode([$role], JSON_THROW_ON_ERROR),
+                'created_at' => gmdate('Y-m-d H:i:s'),
+                'password_changed_at' => gmdate('Y-m-d H:i:s'),
+            ]);
+        }
+    }
+
+    protected function tearDown(): void
+    {
+        parent::tearDown();
+        $this->db->close();
+        gc_collect_cycles();
+        @unlink($this->path);
+        foreach (glob($this->path.'-media/*') ?: [] as $file) {
+            unlink($file);
+        }
+        if (is_dir($this->path.'-media')) {
+            rmdir($this->path.'-media');
+        }
+        [$_SERVER, $_ENV] = $this->previous;
+    }
+
+    public function testOutstandingMigrationsAreImpossibleToOverlookAndCanBeRunFromThere(): void
+    {
+        $client = $this->login();
+        $client->request('GET', '/admin/system');
+        self::assertSame(200, $client->getResponse()->getStatusCode());
+        $html = (string) $client->getResponse()->getContent();
+
+        // Vorher gab es dafür nur die Konsole - also genau das, was auf geteiltem Hosting fehlt.
+        self::assertStringContainsString('Migrationen stehen aus', $html);
+        self::assertStringContainsString('Version20260912000100', $html, 'Die Namen gehören dazu: sie sagen, was passieren wird.');
+        self::assertStringContainsString('/admin/system/migrationen', $html);
+        // Eine Sicherung vorher ist keine Höflichkeit: Migrationen sind nicht umkehrbar.
+        self::assertStringContainsString('Sicherung', $html);
+    }
+
+    public function testTheScreenShowsWhatTheArchiveUpdaterDidInsteadOfDyingOnIt(): void
+    {
+        // Der Fehler, den Umut auf seinem Hosting gesehen hat: Das Update lief, legte seine
+        // Schritte ab – und die Seite, die sie anzeigen soll, starb daran. Der Updater über Git
+        // nennt einen Schritt `step`, der über das Archiv nannte ihn `label`, und die Vorlage
+        // liest `step`. Ergebnis: 500 statt Ergebnis, und der zweite Knopf unerreichbar. Ein
+        // Test, der nur das Ergebnis-Array prüft, findet so etwas nie – dieser rendert die Seite.
+        $archiv = new ArchiveUpdate(
+            dirname(__DIR__),
+            new Updater(dirname(__DIR__), (string) $_ENV['DATABASE_URL'], new CommandRunner(), $this->db),
+            new Backup(dirname(__DIR__), (string) $_ENV['DATABASE_URL'], $this->path.'-media', $this->db, new CommandRunner()),
+            new Download(connectTimeout: 1, timeout: 2),
+            // Eine Adresse, die es nicht gibt: Der Lauf endet nach dem ersten Schritt, ohne
+            // irgendetwas anzufassen – und genau dieser eine Schritt muss auf der Seite stehen.
+            'https://kein-server.invalid/download',
+            'https://kein-server.invalid/api',
+        );
+        $ergebnis = $archiv->run();
+        self::assertFalse($ergebnis['ok']);
+        self::assertSame(
+            ['step', 'ok', 'detail'],
+            array_keys($ergebnis['steps'][0]),
+            'Beide Updater beschreiben ihre Schritte gleich - die Vorlage kennt nur eine Form.',
+        );
+
+        $client = $this->login();
+        $client->request('GET', '/admin/system');
+        $sitzung = $client->getRequest()->getSession();
+        $sitzung->set('update_steps', $ergebnis['steps']);
+        $sitzung->save();
+
+        $client->request('GET', '/admin/system');
+        self::assertSame(200, $client->getResponse()->getStatusCode(), 'Die Ergebnisseite darf an den eigenen Schritten nicht sterben.');
+        self::assertStringContainsString('Fassung ermitteln', (string) $client->getResponse()->getContent());
+    }
+
+    public function testNobodyButAnAdministratorCanStartAMigration(): void
+    {
+        // Ein Knopf, der die Datenbank umbaut, ist das lohnendste Ziel auf diesem Bildschirm.
+        self::ensureKernelShutdown();
+        $anonym = self::createClient();
+        $anonym->followRedirects(false);
+        $anonym->request('POST', '/admin/system/migrationen');
+        self::assertSame('http://localhost/admin/login', $anonym->getResponse()->headers->get('Location'));
+
+        $redaktion = $this->login('editor');
+        $redaktion->request('POST', '/admin/system/migrationen');
+        self::assertSame(403, $redaktion->getResponse()->getStatusCode(), 'Eine Redakteurin darf das nicht.');
+
+        // Und selbst als Administrator nicht ohne gültiges Formular aus dieser Sitzung.
+        $admin = $this->login();
+        $admin->request('POST', '/admin/system/migrationen', ['_csrf_token' => 'erfunden']);
+        $admin->followRedirect();
+        self::assertStringContainsString('Sitzung ist abgelaufen', (string) $admin->getResponse()->getContent());
+        self::assertStringContainsString('Migrationen stehen aus', (string) $admin->getResponse()->getContent(), 'Und es steht immer noch aus.');
+    }
+
+    private function login(string $username = 'admin'): KernelBrowser
+    {
+        self::ensureKernelShutdown();
+        $client = self::createClient();
+        $client->followRedirects(false);
+        $crawler = $client->request('GET', '/admin/login');
+        $client->submit($crawler->selectButton('Anmelden')->form(['_username' => $username, '_password' => self::FIXTURE_PASSWORD]));
+        $client->followRedirect();
+
+        return $client;
+    }
+}